Aplikasi VPN ranap: adakah suis keselamatan masih hidup?

Mulakan di tempat pengguna bermula: tetingkap klien sudah tiada, ikon dalam dul sistem hilang, dan pelayar sama ada memuatkan atau tidak. Pemerhatian itu sahaja tidak dapat memberitahu sama ada sekatan bertahan. Jawapannya bergantung pada komponen mana yang memegang peraturan, sama ada komponen itu mati bersama tetingkap, dan sama ada platform menyimpan penguatkuasaan di luar aplikasi. Berjalan keluar dari tetingkap ke proses, kemudian ke firewall, kemudian ke laluan sebenar.

Jangan but semula dahulu; but semula biasanya memusnahkan bukti.

Mulakan dengan apa yang masih berjalan

Buka senarai proses sebelum menyentuh apa-apa. Klien desktop biasanya berpecah kepada proses antara muka pengguna dan perkhidmatan atau daemon, dan ranap pada yang pertama tidak semestinya menghentikan yang kedua. Pada Windows perkhidmatan itu mungkin masih tersenarai, pada Linux unit itu mungkin masih aktif, dan pada Android terowong dimiliki sistem setelah persetujuan diberikan. Baca ketiga-tiga fakta itu dalam urutan itu.

Jika daemon masih hidup, terowong itu mungkin juga masih hidup, dan tetingkap yang hilang hanyalah kosmetik.

Get-Process | Where-Object { $_.ProcessName -match 'vpn|wireguard|openvpn' }
Get-Service | Where-Object { $_.Name -match 'vpn|wireguard|openvpn' }
netsh wfp show state
systemctl status wg-quick@wg0 --no-pager
ps -eo pid,comm,args | grep -E 'openvpn|wg'
nft list ruleset | head -40

Baca sekatan pada penguatkuasanya, bukan pada aplikasi

Jika klien melaksanakan suis keselamatannya dengan memasukkan peraturan firewall, peraturan itu milik sistem pengendalian dan bertahan selepas proses yang menciptanya. Ranap kemudian meninggalkan anda tersekat tanpa antara muka untuk mematikannya, yang kelihatan seperti rangkaian rosak dan bukan perlindungan. Jika sekatan itu sebaliknya hidup di dalam laluan paket klien sendiri, membunuh proses itu mengalihkan sekatan pada saat yang sama.

Android mengendalikannya lagi secara berbeza: always-on VPN dengan lockdown ialah tetapan platform, jadi sekatan kekal tanpa bergantung pada proses aplikasi, dan sistem boleh memulakan semula perkhidmatan. Rujuk dokumentasi platform untuk tingkah laku tepat dan bukannya menganggapnya sepadan dengan klien desktop.

Bezakan keluar bersih daripada ranap

Quit biasa biasanya menjalankan laluan penutupan klien, yang mengalihkan peraturan dan menutup terowong dengan sengaja. Ranap melangkau laluan itu dan meninggalkan apa sahaja yang telah dipasang oleh penguatkuasa. Perbezaannya kelihatan pada cap masa peraturan berbanding keluarnya proses, dan pada sama ada antara muka terowong lama tanpa pemilik masih wujud.

Perbezaan itu menentukan pemulihan anda: keluar bersih mungkin memerlukan sambungan baharu, manakala ranap mungkin memerlukan peraturan yang tinggal dialihkan melalui tindakan pembaikan yang disokong klien.

Pulihkan tanpa merosakkan kawalan lain

Mulakan semula klien melalui aliran kerja yang didokumenkan, kemudian semak kedua-dua separuh keperluan: terowong membawa trafik, dan sekatan masih terpakai apabila sepatutnya. Membersihkan seluruh firewall untuk mendapatkan semula ketersambungan juga mengalihkan kawalan yang tidak berkaitan, dan pertukaran itu jarang berbaloi.

Untuk ranap berulang, kumpulkan versi klien, binaan platform dan log terhad yang diminta vendor. Profil klien, kunci peribadi atau log sambungan penuh untuk akaun lain tidak diperlukan untuk laporan ranap, dan memasukkannya menjadikan kes sokongan sebagai masalah pengendalian data.

Satu ranap bukan bukti kebocoran. Bukti ialah paket yang diperhatikan keluar melalui laluan yang sepatutnya dihalang oleh dasar, ditangkap pada saat klien tidak berjalan. Uji itu dengan sengaja, dengan destinasi yang tidak berbahaya, dan catat lapisan penguatkuasaan mana yang bertahan.