Kill switch по секоја апликација наспроти заклучување на целиот уред: што се менува

Kill switch по секоја апликација звучи како внимателен избор: кога тунелот паѓа, мрежата ја губи само работниот клиент, а сите други продолжуваат да работат. Потоа некој забележува дека личниот прелистувач сепак вчитал страница, помошникот за синхронизација од истиот пакет продолжувал да опробува, и кеширано име уште се разрешувало на адреса што никогаш не го допрела тунелот. Етикетата на функцијата и множеството врски што таа навистина ги штити се две различни работи. Прво утврдете го заштитеното множество, зашто тоа множество одлучува дали спроведувањето по апликација или заклучувањето на целиот уред е чесниот опис.

Започнете со множеството, не со етикетата

Политиката по апликација ги штити избраните апликации. Заклучувањето на уредот цели кон поширока мрежна граница, обично со документирани исклучоци за локално печатење, управувачки сообраќај или captive портали. Ниту една етикета не е целосна додека не одговорите на три прашања: што се случува со исклучените апликации, што се случува со помагачите што тие апликации ги стартуваат и што се случува со врските отворени додека заштитата не е достапна.

Запишете ги тие одговори пред да допрете која било поставка на клиентот. Ако барањето е "овој клиент за плати никогаш не смее да зборува со интернетот надвор од тунелот, а мојот прелистувач смее", множеството е мало и спроведувањето по апликација одговара. Ако барањето е "ништо на овој уред не стигнува до интернет без заштита, освен службата за ажурирања", ниту една политика по апликација нема да го даде тоа, зашто проблемот се апликациите што не ги именувавте.

Спроведувањето по апликација се совпаѓа со идентификатори, не со имиња на програми

Android го нуди VPN по апликација преку пакети, а неговата документација за VpnService опишува како тоа соработува со постојано вклучениот режим и блокирањето. iOS го поставува VPN по апликација преку профил за управување и се совпаѓа по апликација или по домен. Windows и Linux воопшто немаат рута по процес, па истата идеја се приближува со правило на ѕидот на огнот ограничено на програма или со правило што се совпаѓа со сопственикот корисник.

Границата е идентификаторот, а идентификаторите лесно се заобиколуваат. Апликација што доставува URL до системскиот прелистувач или отвора документ во прегледувач, преминува во процес што вашата политика никогаш не го именувала. Опцијата за прекин при паѓање исто така не е пакетен филтер: таа ја убива апликацијата што сте ја поставиле, додека дете-процес, работник во ред или јазиче во прелистувачот можат да го одржат постојниот сокет жив.

Заклучувањето покрива што политиката по апликација не може да го види

Заклучувањето на целиот уред го отстранува изборот. Секој излезен пакет што не му припаѓа на тунелот се отфрла, вклучително сообраќајот од процеси за кои вашата политика на апликации никогаш не знаела. На Android тоа е постојано вклучен VPN заедно со поставката за блокирање врски, а спроведувањето се случува во системот, не во прозорецот на клиентот. На десктоп тоа е постојано правило на ѕидот на огнот или стандардна рута кон недостапна порта.

Цената е што сето друго запира, па исклучоците стануваат дел од дизајнот, а не подоцнежна мисла. Локалните печатачи, откривањето служби, најавувањето на captive портали, управувачките агенти и ажурирањата на ОС секој бара документирана дупка, зашто секој е пат што останува отворен кога тунелот не работи. Заклучувањето е само толку силно колку што е најкраткиот запис на тој список.

DNS, IPv6 и позадинските помагачи ги кријат истекувањата

Тоа што заштитена апликација не успева да разреши име не докажува дека кешираните одговори или директниот IP сообраќај се блокирани. Ако разрешувачот уште е достапен надвор од тунелот, името се разрешува, а врската не успева, што изгледа како работа на kill switch и не е. Уште полошо, кеширан запис може да покажува на адреса што тунелот не ја носи, па врската излегува директно додека апликацијата пријавува VPN грешка.

IPv6 бара свое правило на секоја платформа што го извршува, зашто правилото за отфрлање на v4 не покрива рута v6. На мобилен, поставка за приватен DNS може да го премести разрешувањето во шифриран канал што политиката на уредот не го проверува. А позадинските помагачи се вообичаениот виновник на десктоп: процес за ажурирање или синхронизација во системската лента започнува пред VPN клиентот и ја држи својата врска, па никогаш не ја гледа променетата рута.

Тестирајте три апликации и два премини

Извршете го секој ред двапати, еднаш со име на домаќин и еднаш со буквална адреса, и уште еднаш преку IPv6 ако мрежата го нуди. Поминување значи дека вклучената апликација запре, исклучената се однесуваше како што запишавте и помагачот не се извлече. Запишете го директното однесување што го оценивте како прифатливо, за да може следниот администратор да разликува намерен исклучок од дефект.

Потоа опишете го резултатот во една реченица што ги именува апликациите и условите, на пример: клиентот за плати нема рута надвор од тунелот, прелистувачот е директен по дизајн, а сето друго запира кога тунелот не работи. Ако таа реченица е тешка за пишување, политиката уште е две политики што се борат меѓу себе.