Kill switch aplikasi vs kill switch firewall: apa yang disekat oleh setiap satu

Kill switch dalam senarai ciri hampir tidak memberitahu apa-apa tentang apa yang berlaku apabila terowong terputus. Satu pelaksanaan menutup proses terpilih, satu lagi memasang penapis paket di sempadan sistem pengendalian, dan yang ketiga hanya cuba menyambung semula. Perbezaannya kelihatan dalam saat-saat selepas kegagalan, bukan pada skrin tetapan. Lalui semakan ini mengikut urutan dan berhenti pada yang pertama yang anda tidak dapat jawab dengan jujur, kerana di situlah liputan sebenar anda berakhir.

Namakan mekanisme penguatkuasaan dahulu

Penamatan proses ialah ciri kitaran hayat aplikasi. Ia mencari program terpilih selepas kegagalan terowong dikesan dan menutupnya. Apa-apa yang bukan proses utama terus hidup: perkhidmatan pembantu, penyegerakan latar belakang dan mana-mana aplikasi yang dimulakan sesaat kemudian, semuanya mempunyai kitaran hayat dan masa tersendiri.

Penapisan paket ialah ciri sistem pengendalian. Ia menolak trafik yang tidak mengikut laluan yang dibenarkan, iaitu janji yang lebih kukuh, tetapi hanya setakat yang benar-benar dipadankan oleh peraturan. Keluarga alamat, antara muka, aplikasi yang dikecualikan dan pengecualian yang menentukannya, bukan label dalam klien.

Adakah sekatan bertahan lebih lama daripada klien?

Tanya empat soalan mengikut urutan ini: apa yang berlaku semasa ranap, semasa keluar manual, semasa log keluar dan semasa but semula. Peraturan yang diselenggara oleh klien sendiri biasanya dibuang semasa penutupan teratur dan sering ditinggalkan selepas ranap. Peraturan yang dipasang dalam stor platform boleh bertindak sebaliknya: bertahan daripada klien dan kadangkala daripada penyahpasangan.

Tutup klien di tengah-tengah muat turun panjang dan lihat sama ada pemindahan terhenti atau berterusan.

Cari lubang biasa

IPv6 yang pertama. Peraturan yang ditulis untuk alamat IPv4 membiarkan trafik IPv6 tidak terjejas, dan banyak klien hanya menulis separuh v4. Yang kedua ialah antara muka: tethering USB, penyesuai Wi-Fi kedua dan modem selular mungkin tidak termasuk dalam peraturan yang terhad kepada sambungan utama. Aplikasi yang dikecualikan dan pengecualian rangkaian setempat ialah yang ketiga.

Pada Windows anda boleh membaca peraturan yang dipasang daripada mempercayai togol: Get-NetFirewallRule -DisplayName '*VPN*' dan netsh wfp show filters kedua-duanya menunjukkan apa yang wujud. Pada Linux, iptables -S, ip6tables -S dan nft list ruleset meliputi kes biasa, dan membandingkan ketiga-tiganya ialah intinya.

DNS ialah kebocoran biasa

Menyekat TCP sementara UDP 53 dibiarkan terbuka memberi anda kill switch yang sangat meyakinkan yang masih menjawab setiap pertanyaan nama hos. Perkara sama berlaku apabila DNS diserahkan kepada penyelesai pada antara muka lain, atau apabila klien hanya menyekat v4 dan penyelesai boleh dicapai melalui v6.

Dengan terowong jatuh, selesaikan satu nama yang diketahui dan lihat sama ada jawapan kembali. Jika ya, trafik tidak disekat sepenuhnya, apa pun kata ikon status.

Uji peralihan, bukan togol

Mematikan VPN dari menunya sendiri ialah penutupan teratur, dan kes teratur ialah kes yang setiap pelaksanaan uruskan dengan baik. Peralihan yang penting ialah yang kasar: bunuh proses terowong, cabut rangkaian, biarkan pelayan berhenti menjawab. Kemudian mulakan permintaan dan lihat sama ada ia gagal atau diam-diam menggunakan pautan fizikal.

Hasil daripada satu komputer riba tidak berpindah ke telefon atau penghala. API platform berbeza, lalai berbeza, dan pada Android perbezaannya amat ketara: always-on dengan penyekatan dikuatkuasakan oleh sistem, bukan klien, jadi ia terus berfungsi apabila klien tidak. Panduan VPN Android menerangkan pemisahan itu.

Kekalkan jalan balik

Penyekatan peringkat sistem mempunyai mod kegagalan yang bertentangan. Penapis yang bertahan lebih lama daripada klien boleh meninggalkan mesin tanpa rangkaian langsung selepas penyahpasangan, yang merupakan panggilan sokongan tanpa sebab yang jelas. Sebelum mendayakan mana-mana kill switch yang menulis peraturan platform, catat bagaimana ia dibuang, dan simpan laluan pembaikan vendor di tempat yang boleh anda temui.

Jika anda tidak dapat menjawab semakan ranap, IPv6, DNS dan peralihan untuk klien anda, anggap ia sebagai suis peringkat aplikasi dengan lubang yang diketahui dan rancang sewajarnya.