VPN drošības slēdzis: kādu datplūsmu un kad tas bloķē

Divas funkcijas apraksta ar vienu un to pašu vārdu, un tās dara dažādu darbu. Automātiskā atkārtotā savienošanās cenšas atgriezt tuneli, un tas var izdoties sekundes laikā, kamēr pieprasījumi šajā starplaikā cieš neveiksmi. Drošības slēdzis izlemj, kas notiek ar datplūsmu šajā starplaikā. Klienta lasīšana tā, it kā abi būtu viens iestatījums, noved pie tā, ka cilvēki sāk uzticēties ikonai, nevis politikai.

Bloķēšana un atkārtota savienošanās ir atsevišķi lēmumi

Viens klients bloķē tikai tad, kad pārtraukums ir negaidīts, pēc tam atkārtoti piesakās un noņem bloķēšanu. Cits uztur sistēmas līmeņa bloķēšanu, līdz kāds manuāli nomaina iestatījumu, bet trešais apzinātu atvienošanu uzskata par atļauju atjaunot parasto piekļuvi. Tie ir trīs dažādi uzvedības modeļi, un piegādātāja dokumentācija norāda, kuru īsteno jūsu versija.

Profila importēšana šo jautājumu neizlemj. Viens un tas pats servera profils ielādējas divos klientos ar pretēju bloķēšanas uzvedību, jo profils satur iestatījumus, nevis solījumu. Tāpēc arī atzīmes rūtiņa darbvirsmā un līdzīgi nosaukts slēdzis tālrunī var īstenot dažādus noteikumus. Izlasiet aprakstu pie vadīklas savā platformā un pēc tam pārbaudiet, ko tā dara.

Viens un tas pats profils divos klientos uzvedas citādi

OpenVPN Connect lietotnes iestatījumi apraksta tuneļa režīmu, kas parasto datplūsmu aiztur tikai tik ilgi, kamēr klients ziņo par pauzētu vai atkārtoti pieslēdzošu stāvokli, kas ir šaurāk nekā vispārīgs solījums par katru notikumu katrā platformā. Lasiet uzskaitītos stāvokļus, nevis produkta nosaukumu. Vienai klienta versijai rakstīts apraksts nepāriet uz cita piegādātāja klientu.

Android rāda to pašu vārdu divām vadīklām, jo pastāvīgais VPN un savienojumu bloķēšana bez VPN tiek dokumentēta atsevišķi. Darbvirsmas klients ar līdzīgi nosauktu atzīmes rūtiņu var īstenot kaut ko šaurāku vai plašāku nekā jebkura no tām. Uzskatiet kopīgu etiķeti divās izvēlnēs par nejaušību, līdz abi apraksti ir izlasīti. Pārvaldītās ierīces pievieno trešo slāni, jo ierīces profils var uzspiest iestatījumu, ko lietotājs neredz un nevar atcelt.

Līdzīgi izskatīgi platformas iestatījumi nav līdzvērtīgi

Salīdziniet vadīklu, ko redzat, ar politiku, kas faktiski ir spēkā. Pārvaldītā ierīcē redzamais slēdzis var būt pelēks vai ieslēgts, kamēr augstāka līmeņa profils uzspiež pretējo. Prasiet efektīvo politiku, nevis vietējo, un saņemiet atbildi rakstiski.

Pierakstiet, ko apgalvo katrs slānis, pirms kaut ko pārbaudāt, jo abi bieži vien nesakrīt, un šo nesakritību ir viegli pazaudēt, tiklīdz sākas testi. Ierīce, kas testa laikā bloķē pareizi, var bloķēt tāda iemesla dēļ, kuru neviens nav dokumentējis.

Palaidiet vienu notikumu reizē un pierakstiet kodu

Pārbaudiet vienu notikumu katrā reizē, ar nekaitīgu pieprasījumu, un katru mēģinājumu padariet par jaunu pieprasījumu, nevis lapu, kas varbūt jau ir kešatmiņā. Tālāk dotās komandas nolaiž tuneli, pieprasa lapu un parāda, vai saskarne atgriezās.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

Tabula saista katru darbību ar novērojumu, kam ir nozīme, un ar pierādījumu, ko ir vērts saglabāt. Pieprasījums, kas neizdodas termiņa laikā, pasaka, ka bloķēšana iedarbojās; pieprasījums, kas iziet, pasaka, ka datplūsma atrada citu ceļu, un tas var būt izslēgts maršruts, nevis izslēgta bloķēšana. Atkārtojiet visu kopu pēc būtiska programmatūras atjauninājuma vai maršrutēšanas politikas maiņas, jo jebkurš no tiem var mainīt zaru, nekustoties nevienam redzamam iestatījumam. Beigās jūs vēlaties paredzamu kļūmes uzvedību, nevis mierinošu ikonu.

Izņēmumi, viesu portāli un ko bloķēšana nevar

Piekļuve vietējam tīklam ir ierastais izņēmums, un tas maina solījuma tvērumu. Klients var sasniegt printeri tajā pašā apakštīklā, bloķējot visu pārējo, kas mājās ir saprātīgi, bet viesu tīklā apšaubāmi. Izlemiet, vai šis izņēmums ir vēlams, pirms incidents to atklāj jūsu vietā.

Stingra bloķēšana arī padara apgrūtinošu pieteikšanos viesu tīkla portālā, jo portāls ir tieši tā datplūsma, kuras apturēšanai bloķēšana pastāv. Apgūstiet atbalstīto veidu, kā autorizēt tīklu, un pēc tam apzināti atjaunojiet politiku, tā vietā lai izslēgtu vadīklas, līdz ielādējas lapa. Turiet atrisinātāja atbildi un maršrutu tabulu vienā un tajā pašā piezīmē, kā zemāk. Ko drošības slēdzis nevar izdarīt, ir padarīt pakalpojumu anonīmu, jo datplūsmas bloķēšana ārpus tuneļa neko nepasaka par to, kas notiek tā iekšienē.

resolvectl query example.com
ss -tunp | grep -v tun0