Kill switch во апликацијата наспроти kill switch во огнениот ѕид: што блокира секој

Kill switch на списокот со функции не ви кажува речиси ништо за тоа што се случува кога тунелот паѓа. Една имплементација затвора избрани процеси, друга инсталира филтри на пакети на границата на оперативниот систем, а трета едноставно се обидува повторно да се поврзе. Разликата се гледа во секундите по отказот, не на екранот за поставки. Поминете ги овие проверки по ред и застанете на првата на која не можете чесно да одговорите, зашто таму завршува вашето вистинско покривање.

Прво именувајте го механизмот за спроведување

Прекинувањето на процеси е функција од животниот циклус на апликацијата. Ги наоѓа избраните програми по откриен отказ на тунелот и ги затвора. Сè што не е главниот процес преживува: помошни услуги, синхронизација во позадина и секоја апликација стартувана секунда подоцна имаат свој животен циклус и свое време.

Филтрирањето пакети е функција на оперативниот систем. Одбива сообраќај што не ја следи дозволената патека, што е посилно ветување, но само до степенот до кој правилото навистина се совпаѓа. Семејството адреси, интерфејсот, исклучените апликации и исклучоците го одредуваат тоа, а не ознаката во клиентот.

Дали блокадата го преживува клиентот?

Поставете четири прашања по овој ред: што се случува при пад, при рачно излегување, при одјавување и при рестартирање. Правило што го одржува самиот клиент обично се отстранува при уредно исклучување и често останува по пад. Правило инсталирано во складиштето на платформата може да се однесува обратно: да го преживее и клиентот и, повремено, деинсталирањето.

Затворете го клиентот среде долго преземање и гледајте дали преносот запира или продолжува.

Побарајте ги стандардните дупки

IPv6 е првата. Правило напишано за IPv4 адреси го остава сообраќајот IPv6 недопрен, а многу клиенти ја пишуваат само половината v4. Втората е интерфејсот: USB tethering, втор Wi-Fi адаптер и мобилен модем може да не бидат вклучени во правило ограничено на примарната врска. Исклучени апликации и исклучоците за локална мрежа се третите.

На Windows може да ги читате инсталираните правила наместо да му верувате на прекинувачот: Get-NetFirewallRule -DisplayName '*VPN*' и netsh wfp show filters покажуваат што постои. На Linux iptables -S, ip6tables -S и nft list ruleset ги покриваат вообичаените случаи, а споредувањето на сите три е поентата.

DNS е вообичаеното истекување

Блокирањето на TCP додека UDP 53 останува отворен ви дава многу уверлив kill switch што сè уште одговара на секое барање за име на домаќин. Истото важи кога DNS се предава на резолвер на друг интерфејс или кога клиентот блокира само v4, а резолверот е достапен преку v6.

Со спуштен тунел, разрешете едно познато име и видете дали се враќа одговор. Ако се враќа, сообраќајот не е целосно блокиран, што и да кажува иконата за состојба.

Тестирајте го преминот, не прекинувачот

Исклучувањето на VPN од неговото сопствено мени е уредно затворање, а уредниот случај секоја имплементација го справува добро. Преминот што е важен е грубиот: убијте го процесот на тунелот, извлечете ја мрежата, оставете серверот да престане да одговара. Потоа започнете барање и гледајте дали тоа пропаѓа или тивко ја користи физичката врска.

Резултатот од еден преносен сметач не се пренесува на телефон или рутер. Различни API на платформата, различни стандардни вредности, а на Android разликата е остра: always-on со блокирање го спроведува системот, а не клиентот, па продолжува да работи кога клиентот не работи. Упатството за VPN на Android ја опишува таа поделба.

Задржете пат назад

Блокирањето на системско ниво има спротивен режим на отказ. Филтри што го преживуваат клиентот можат да остават машина сосема без мрежа по деинсталирање, што е повик до поддршка без очигледна причина. Пред да вклучите кој и да е kill switch што пишува правила на платформата, забележете како се отстранува и чувајте ја патеката за поправка од добавувачот таму каде што можете да ја најдете.

Ако не можете да одговорите на проверките за пад, IPv6, DNS и премин за вашиот клиент, третирајте го како прекинувач на ниво на апликација со познати дупки и планирајте соодветно.