Излез или прекини: два различни исходи за VPN

Менито нуди Прекини, прозорецот има копче за затворање, а менаџерот на задачи нуди Заврши задача. Секое од нив изгледа како начин да го запрете VPN, и секое може да ја остави машината во друга состојба. Едното може да го запре тунелот додека блокирањето останува на место, другото може да исчисти сите работи како дел од уредно излегување, а третото може само да го сокрие интерфејсот додека позадинската компонента продолжува да работи. Да се третираат како синоними е патот по кој тестот за приватност доаѓа до погрешен заклучок за тоа што се случило.

Документацијата на клиентот е единственото сигурно место каде што може да се дознае што е што.

Четири контроли, можеби четири однесувања

Прекинот обично го разградува тунелот додека клиентот останува во меморијата, што значи дека служба, компонента во системската лента или правило за kill switch може да го преживее кликнувањето. Потоа многу клиенти продолжуваат да го блокираат сообраќајот бидејќи нивната политика вели дека уредот не смее да се врати на директен пристап додека клиентот е присутен. Тоа однесување изгледа како расипана мрежа и е намерна заштита.

Излезот е наменет да ја заврши апликацијата, и клиент што добро се однесува ги отстранува своите правила при излегување. Некои решенија наместо тоа оставаат посебен помошник што ја спроведува политиката, и тоа е избор, а не дефект. Затворањето на прозорецот е дејство на интерфејсот без определено влијание врз тунелот, а Пауза, каде што е понудена, е четврто однесување со свои правила.

Прекин на страната на серверот е сосема петти пат, и токму со него корисниците во практика најчесто се среќаваат.

Прочитајте ја состојбата пред и по секое дејство

Запишете го списокот на процеси, состојбата на службата и правилата на ѕидот за заштита пред дејството, потоа повторете го записот веднаш потоа. Споредбата на двата списка покажува што контролата навистина направила, без потпирање на сопствениот опис на интерфејсот.

systemctl status wg-quick@wg0 --no-pager
pgrep -a -f 'openvpn|wireguard|vpnagent'
ip link show | grep -E 'tun|wg'
nft list ruleset | grep -E 'drop|reject' | head -20
scutil --nc list

Ако правилата исчезнат заедно со процесот, клиентот ги поседувал. Ако правилата останат додека процесот го нема, нешто друго ја спроведува политиката, и наоѓањето на таа компонента доаѓа пред каква било промена. Запишете ја состојбата на службата во истиот момент, зашто запрен интерфејс не кажува ништо за системска служба.

Рачното прекинување не е пад

Прекинот ја поминува предвидената патека за исклучување, а падот ја прескокнува. Затоа резултатите од едното не се пренесуваат на другото, така што тест што користел ставка од менито не може да го поддржи тврдењето за однесувањето кога клиентот ќе умре.

На ист начин, падот не кажува ништо за одобрена привремена пауза. Држете ги тие три прашања одделно во планот за тестирање и во сите работи што ќе се запишат потоа. Патеката за исклучување објаснува и зошто чистото излегување може да ги отстрани правилата што падот ги остава. Исто копче, друг код, други докази.

Изберете ја недостапната состојба што навистина ви треба

Ако сообраќајот мора да остане блокиран секогаш кога тунелот е исклучен, проверете го тоа барање за време на конкретното дејство што ве интересира, користејќи безопасен сообраќај кон познато одредиште. Вклучете ги исклучоците за апликации и исклучоците за локалната мрежа, бидејќи спроведувањето за целиот уред е често потесно отколку што сугерира името. Потоа потврдете што се случува по рестартирање, зашто тогаш обично се појавува застарената состојба.

Ако целта е обичен директен пристап, користете ја документираната контрола наместо да убивате процеси или да го исклучите целиот ѕид за заштита. Застарените правила оставени од прекинато излегување се друг проблем од намерното заклучување, и тие бараат друго враќање.

Запишете која компонента запре: тунелот, видливата апликација или слојот што ја спроведува политиката. Таа една реченица го спречува најголемиот дел од конфузијата што ја создаваат овие контроли.