प्रत्येक ॲपसाठी किल स्विच विरुद्ध संपूर्ण उपकरणाचे लॉकडाउन: काय बदलते
लेबल नाही, संरक्षित संचावरून ठरवा: वगळलेल्या ॲप्ससाठी, पार्श्वभूमी सहाय्यकांसाठी आणि नवीन कनेक्शनसाठी काय थांबते, आणि प्रत्येक प्रकरण कसे तपासावे।
प्रत्येक ॲपसाठी किल स्विच सावध निवडीसारखा वाटतो: टनेल पडल्यावर फक्त कामाच्या क्लायंटचे नेटवर्क जाते, आणि बाकी सर्व चालू राहते। मग कोणालातरी लक्षात येते की वैयक्तिक ब्राउझरने तरीही पान लोड केले, त्याच सूटसह आलेला सिंक सहाय्यक पुन्हा पुन्हा प्रयत्न करत होता, आणि कॅशेमधील नाव अजूनही अशा पत्त्यावर सोडवले जात होते ज्याने टनेलला कधीही स्पर्श केला नव्हता। वैशिष्ट्यावरील लेबल आणि ते प्रत्यक्षात ज्या कनेक्शनचा संच संरक्षित करते ते दोन वेगळ्या गोष्टी आहेत। आधी संरक्षित संच ठरवा, कारण तोच संच प्रत्येक ॲपसाठी अंमलबजावणी की संपूर्ण उपकरणाचे लॉकडाउन हे प्रामाणिक वर्णन आहे हे ठरवतो।
लेबलऐवजी संचापासून सुरुवात करा
प्रत्येक ॲपसाठीचे धोरण निवडलेल्या ॲप्सचे संरक्षण करते। उपकरणाचे लॉकडाउन व्यापक नेटवर्क सीमेवर लक्ष ठेवते, सामान्यतः स्थानिक प्रिंटिंग, व्यवस्थापन रहदारी किंवा कॅप्टिव्ह पोर्टलसाठी नोंदवलेल्या अपवादांसह। तीन प्रश्नांची उत्तरे देईपर्यंत कोणतेही लेबल पूर्ण नसते: वगळलेल्या ॲप्सना काय होते, ती ॲप्स सुरू करतात त्या सहाय्यकांना काय होते, आणि संरक्षण उपलब्ध नसताना उघडलेल्या कनेक्शनना काय होते।
क्लायंटच्या कोणत्याही सेटिंगला हात लावण्यापूर्वी ही उत्तरे लिहून ठेवा। जर गरज "या पेरोल क्लायंटने टनेलबाहेर इंटरनेटशी कधीही बोलू नये, आणि माझ्या ब्राउझरने बोलावे" अशी असेल, तर संच लहान आहे आणि प्रत्येक ॲपसाठी अंमलबजावणी योग्य आहे। जर गरज "या उपकरणावरील काहीही संरक्षणाशिवाय इंटरनेटपर्यंत पोहोचू नये, अपडेट सेवा वगळून" अशी असेल, तर कोणतेही प्रत्येक ॲपसाठीचे धोरण ते देणार नाही, कारण तुम्ही नाव न घेतलेली ॲप्सच ही समस्या आहेत।
प्रत्येक ॲपसाठी अंमलबजावणी ओळखकर्त्यांशी जुळते, प्रोग्राम नावांशी नाही
Android पॅकेजद्वारे प्रत्येक ॲपसाठी VPN देते, आणि त्याचे VpnService दस्तऐवज हे नेहमी-चालू कार्य आणि ब्लॉकिंगसोबत कसे संवाद साधते ते स्पष्ट करते। iOS व्यवस्थापन प्रोफाइलद्वारे प्रत्येक ॲपसाठी VPN सेट करते आणि ॲप किंवा डोमेननुसार जुळवते। Windows आणि Linux मध्ये प्रक्रियेनुसार मार्गच नाही, म्हणून तीच कल्पना प्रोग्रामपुरती मर्यादित फायरवॉल नियमाने किंवा मालक वापरकर्त्याशी जुळणाऱ्या नियमाने अंदाजित केली जाते।
सीमा ही ओळखकर्ता आहे, आणि ओळखकर्त्यांना बगल देणे सोपे आहे। जे ॲप सिस्टम ब्राउझरला URL देते, किंवा व्यूअरमध्ये दस्तऐवज उघडते, ते तुमच्या धोरणाने कधीही नाव न घेतलेल्या प्रक्रियेत जाते। पडल्यावर संपुष्टात आणण्याचा पर्यायही पॅकेट फिल्टर नाही: तो तुम्ही कॉन्फिगर केलेले ॲप मारतो, तर चाइल्ड प्रक्रिया, क्यू वर्कर किंवा ब्राउझर टॅब विद्यमान सॉकेट जिवंत ठेवू शकतो।
लॉकडाउन प्रत्येक ॲपसाठीचे धोरण जे पाहू शकत नाही ते व्यापते
संपूर्ण उपकरणाचे लॉकडाउन निवड काढून टाकते। टनेलचे नसलेले प्रत्येक बाहेर जाणारे पॅकेट टाकून दिले जाते, तुमच्या ॲप धोरणाला कधीही माहीत नसलेल्या प्रक्रियांची रहदारीही। Android वर हे नेहमी-चालू VPN आणि कनेक्शन ब्लॉक करण्याच्या सेटिंगचे संयोजन आहे, आणि अंमलबजावणी सिस्टममध्ये होते, क्लायंट विंडोमध्ये नाही। डेस्कटॉपवर हे कायमचा फायरवॉल नियम किंवा पोहोचता न येणाऱ्या गेटवेकडे निर्देशित डीफॉल्ट मार्ग आहे।
किंमत ही की बाकी सर्व थांबते, म्हणून अपवाद नंतरचा विचार नाही तर रचनेचा भाग होतात। स्थानिक प्रिंटर, सेवा शोध, कॅप्टिव्ह पोर्टल लॉगिन, व्यवस्थापन एजंट आणि OS अपडेटना प्रत्येकाला नोंदवलेले भोक लागते, कारण प्रत्येक टनेल बंद असताना उघडा राहणारा मार्ग आहे। लॉकडाउन त्या यादीतील सर्वात लहान नोंदीइतकेच मजबूत असते।
DNS, IPv6 आणि पार्श्वभूमी सहाय्यक गळती लपवतात
संरक्षित ॲप नाव सोडवू शकले नाही याचा अर्थ कॅशे केलेली उत्तरे किंवा थेट IP रहदारी ब्लॉक आहे असे सिद्ध होत नाही। रिझोल्व्हर टनेलबाहेर अजूनही पोहोचण्यायोग्य असेल, तर नाव सोडवले जाते आणि कनेक्शन अयशस्वी होते, जे चालू किल स्विचसारखे दिसते आणि तसे नसते। त्याहून वाईट, कॅशे केलेला नोंद अशा पत्त्याकडे दाखवू शकतो जो टनेल वाहत नाही, म्हणून कनेक्शन थेट बाहेर जाते आणि ॲप VPN त्रुटी नोंदवते।
IPv6 ला ते चालवणाऱ्या प्रत्येक प्लॅटफॉर्मवर स्वतःचा नियम लागतो, कारण v4 साठीचा ड्रॉप नियम v6 मार्ग व्यापत नाही। मोबाइलवर, खाजगी DNS सेटिंग सोडवणीला उपकरण धोरण तपासत नसलेल्या एन्क्रिप्टेड चॅनेलमध्ये हलवू शकते। आणि पार्श्वभूमी सहाय्यक डेस्कटॉपवर नेहमीचे दोषी आहेत: ट्रेमधील अपडेटर किंवा सिंक प्रक्रिया VPN क्लायंटपूर्वी सुरू होते आणि स्वतःचे कनेक्शन ठेवते, म्हणून बदललेला मार्ग त्याला कधीही दिसत नाही।
तीन ॲप आणि दोन संक्रमणे तपासा
| Test | What it proves |
|---|---|
| Included app, by name and by direct IP | the policy is applied, not just the resolver |
| Excluded app, same checks | the exclusion is intentional and documented |
| Helper or updater process | nothing inherited an older route |
| Tunnel drop, then Wi-Fi to cellular | the block survives the transition |
प्रत्येक ओळ दोनदा चालवा, एकदा होस्टनावासह आणि एकदा शब्दशः पत्त्यासह, आणि नेटवर्क देते तर अजून एकदा IPv6 वर। उत्तीर्ण म्हणजे समाविष्ट ॲप थांबले, वगळलेले ॲप तुम्ही लिहिल्याप्रमाणे वागले, आणि सहाय्यक बाहेर सरकला नाही। तुम्ही स्वीकारार्ह ठरवलेले थेट वर्तन नोंदवा, जेणेकरून पुढील प्रशासक हेतुपूर्वक केलेला अपवाद आणि बिघाड यात फरक करू शकेल।
मग निकाल एका वाक्यात सांगा जे ॲप्स आणि अटींची नावे घेते, उदाहरणार्थ: पेरोल क्लायंटला टनेलबाहेर मार्ग नाही, ब्राउझर रचनेनुसार थेट आहे, आणि टनेल बंद असताना बाकी सर्व थांबते। ते वाक्य लिहिणे कठीण वाटत असेल, तर धोरण अजूनही एकमेकांशी भिडणारी दोन धोरणे आहेत।