Vai jūsu drošības slēdzis bloķēs lietotni, kuru jūs izslēdzāt no tuneļa?

Drošības slēdzis ieslēgts, lietotne apzināti izslēgta no tuneļa, un abas prasības tagad ir pretrunā. Viena saka, ka nekas nedrīkst iziet, izņemot pa tuneli, otra saka, ka šai programmai jāiet tieši. Katrs klients šo pretrunu risina savādāk, un iestatījumu lapa reti paskaidro, kurš noteikums uzvar. Uzrakstiet politiku katrai lietotnei, pirms uzticaties jebkuram apzīmējumam.

Divas politikas, viena mašīna

Drošības slēdzis ir solījums par kļūdu: kad tunelis neaizsargā datplūsmu, datplūsma apstājas. Sadalīts tunelis ir solījums par izvēli: šīs programmas vai galamērķi izmanto tuneli, un tie citi ne. Otrais solījums rada datplūsmu, par kuru pirmajam jālemj. Neviens solījums nav nepareizs; tos vienkārši rakstīja dažādi cilvēki dažādiem draudiem.

Ir iespējami trīs iznākumi, un tikai viens no tiem ir tas, ko bija iecerējusi ieviešana. Izslēgtā lietotne var palikt tieša pārtraukuma laikā, kas respektē sadalījumu un salauž drošības slēdzi. To var bloķēt kopā ar visu pārējo, kas respektē slēdzi un salauž sadalījumu. Vai arī to var bloķēt tikai reizēm, atkarībā no tā, kā platforma novērtē noteikumu pēc tam, kad saskarne pazūd. Tieši pēdējais gadījums rada pieteikumus.

Vispirms lietotņu saraksts, pēc tam noteikums

Uzskaitiet programmas, kurām jāizmanto tunelis, tās, kurām jāiet tieši, un nosaukumus vai galamērķus, kuriem nekad nevajadzētu parādīties nevienā sarakstā. Atsevišķi iekļaujiet atrisinātāja uzvedību un IPv6 pusi, jo abas var ievērot citādu politiku nekā lapu datplūsma.

Noteikumi atsevišķai lietotnei parasti atbilst izpildāmajam failam vai pakotnei, nevis profilam tajā. Pārlūka profils, privātais logs un paplašinājums nenes savu tīkla identitāti, tāpēc tie manto to, ko saņēma process. Šī pārlūka palaists palīgprocess var vispār nemantot to pašu noteikumu.

Vajadzīgi divi saraksti, nevis viens: ko tunelim jānes un kas nekāda iemesla dēļ nedrīkst ceļot ārpus tā. Lietotne, kas parādās abos, ir prasību konflikts, nevis ieviešanas detaļa, un tas jāatrisina pirms klienta konfigurēšanas.

Ko klients dara pārtraukuma laikā

Dažas ieviešanas pārtraukuma laikā bloķē izslēgtās lietotnes un atjauno tām piekļuvi pēc atkārtotas savienošanas. Citas visu laiku saglabā tiešo ceļu, kas atbilst sadalījumam un ir vājāks kā drošības īpašība. Platformas līmeņa bloķēšana var pilnībā ignorēt klienta paša izvēli katrai lietotnei. Šī atšķirība nav kosmētiska, jo tā nosaka, vai izslēgtā lietotne ir politikas izņēmums vai caurums.

Android vienmēr ieslēgtais VPN ar opciju bloķēt savienojumus bez VPN ir visskaidrākais gadījums, jo bloķēšanu piemēro platforma, nevis klients, un izslēgtā pakotne tiek bloķēta kopā ar visu pārējo, kamēr tunelis ir izslēgts. Darbvirsmas klients, kas savā draiverī piemēro izņēmumus katrai lietotnei, parasti atstāj izslēgto procesu fiziskajā saskarnē, jo tas nekad nav pārvaldījis šī procesa datplūsmu. Abas uzvedības ir aizstāvamas, un tikai viena atbilst prasībai, ka izslēgtajai lietotnei jāpaliek lietojamai. Pirms rezultāta interpretēšanas pajautājiet, kura komponente piemēro noteikumu.

Lasiet uzvedību tajā operētājsistēmā, kas ir jums priekšā, nevis iestatījumu ar tādu pašu nosaukumu citur. Piemērošanas API atšķiras, un viena izvēles rūtiņa darbvirsmā un tālrunī var nozīmēt pilnīgi atšķirīgas lietas. Svarīga ir arī versija, jo bloķēšanas vadība Android izlaidumu laikā ir pārvietojusies starp ekrāniem, un klienta puses izņēmumu saraksts nav tā pati vadība kā platformas bloķēšana.

Trīs brīži: tunelis augšā, tunelis lejā, atkārtota savienošana

Izmantojiet nekaitīgus pieprasījumus trīs brīžos: kamēr tunelis strādā, jums svarīgā pārtraukuma laikā un pēc atkārtotas savienošanas. Viens pārlūka rezultāts nevar noteikt izslēgtās lietotnes uzvedību.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

Izejas adrese parāda, kurš ceļš tika izvēlēts, un skaidrais saskarnes tests parāda, kas notiek, kad tunelis ir vienīgā pieejamā izeja. Pirms jebkuras rindas izpildes pierakstiet gaidāmo rezultātu blakus katrai rindai, pretējā gadījumā izvade tiks interpretēta pēc fakta.

Ja izslēgtā lietotne nonāk bezsaistē, pirms plašas ugunsmūra atļaujas pievienošanas pārbaudiet politikas prioritāti, jo šis labojums iznīcina atšķirību, kuru jūs testējāt. Ja tā paliek tieša, apstipriniet, ka tie bija dokumentētie izņēmumi, nevis nejauša atkāpšanās. Ja prasība ir strikta visai ierīcei, saīsiniet izņēmumu sarakstu, līdz to var pārbaudīt ar rokām.