Ќе ја блокира ли вашиот заштитен прекинувач апликацијата што ја исклучивте од тунелот?

Заштитниот прекинувач е вклучен, апликацијата е намерно исклучена од тунелот, и двата барања сега си противречат. Едното вели дека ништо не смее да излезе освен низ тунелот, другото вели дека оваа програма мора да оди директно. Секој клиент го решава тој конфликт поинаку, а страницата со поставки ретко објаснува кое правило победува. Напишете ја политиката по апликација пред да верувате на која било ознака.

Две политики, една машина

Заштитниот прекинувач е ветување за дефектот: кога тунелот не го штити сообраќајот, сообраќајот запира. Поделениот тунел е ветување за изборот: овие програми или дестинации го користат тунелот, а оние не. Второто ветување создава сообраќај за кој првото мора да одлучи. Ниту едно ветување не е погрешно; едноставно ги пишувале различни луѓе за различни закани.

Можни се три исходи и само еден е тоа што го наменило распоредувањето. Исклучената апликација може да остане директна за време на прекин, што го почитува поделбата и го крши прекинувачот. Може да биде блокирана со сето останато, што го почитува прекинувачот и ја крши поделбата. Или може да биде блокирана само понекогаш, зависно од тоа како платформата го оценува правилото откако интерфејсот ќе исчезне. Токму последниот случај создава билети.

Прво списокот на апликации, потоа правилото

Наведете ги програмите што мора да го користат тунелот, тие што мора да одат директно, и имињата или дестинациите што никогаш не смеат да се појават на ниту еден список. Одделно вклучете го однесувањето на резолверот и страната IPv6, бидејќи двете можат да следат политика различна од сообраќајот на страниците.

Правилата по апликација обично се совпаѓаат со извршна датотека или пакет, а не со профил во него. Профилот на прелистувачот, приватниот прозорец и додатокот не носат сопствен мрежен идентитет, па го наследуваат тоа што го добил процесот. Помошниот процес што го стартувал тој прелистувач може воопшто да не го наследи истото правило.

Потребни се два списоци, не еден: што мора да носи тунелот и што никако не смее да патува надвор од него. Апликацијата што се појавува на двата е конфликт на барања, а не детал од имплементацијата, и мора да се реши пред да се конфигурира клиентот.

Што прави клиентот за време на прекин

Некои имплементации ги блокираат исклучените апликации за време на прекин и им го враќаат пристапот при повторно поврзување. Други ја задржуваат директната патека цело време, што е во согласност со поделбата и е послабо како безбедносна особина. Заклучувањето на ниво на платформа може целосно да го надвладее изборот на клиентот по апликација. Таа разлика не е козметичка, бидејќи одлучува дали исклучената апликација е исклучок од политиката или дупка.

Секогаш вклучениот VPN на Android со опцијата за блокирање на врски без VPN е најјасниот случај, бидејќи заклучувањето го спроведува платформата, а не клиентот, и исклучениот пакет се блокира со сето останато додека тунелот е исклучен. Десктоп клиентот што применува исклучоци по апликација во сопствениот драјвер обично го остава исклучениот процес на физичкиот интерфејс, бидејќи никогаш не го поседувал сообраќајот на тој процес. Двете однесувања се одбранливи и само едното одговара на барање што вели дека исклучената апликација мора да остане употреблива. Прашајте кој компонент го спроведува правилото пред да го протолкувате резултатот.

Читајте го однесувањето на оперативниот систем пред вас, а не поставката со истото име на друго место. API-јата за спроведување се разликуваат, и едно поле може да значи строго различни работи на десктоп и на телефон. И верзијата е важна, бидејќи контролата за заклучување се преместувала меѓу екраните низ изданијата на Android, а списокот со исклучоци на страната на клиентот не е иста контрола како заклучувањето на платформата.

Три моменти: тунел вклучен, тунел исклучен, повторно поврзување

Користете безопасни барања во три моменти: додека тунелот работи, за време на дефектот што ве интересира и по повторното поврзување. Еден резултат од прелистувач не може да го утврди однесувањето на исклучената апликација.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

Адресата на излезот покажува која патека е избрана, а експлицитниот тест на интерфејсот покажува што се случува кога тунелот е единствениот достапен излез. Запишете го очекуваниот резултат до секој ред пред да извршите кој било од нив, инаку излезот ќе биде протолкуван отпосле.

Ако исклучената апликација остане без мрежа, проверете го приоритетот на политиките пред да додадете широко дозволување во огнениот ѕид, бидејќи таа поправка ја уништува разликата што ја тестиравте. Ако остане директна, потврдете дека тоа бил документираниот исклучок, а не случајно отстапување. За строго барање за целиот уред, скратете го списокот со исклучоци додека не може да се тестира рачно.