Suis keselamatan VPN: trafik apa yang disekat dan bila

Dua ciri diterangkan dengan perkataan yang sama dan melakukan kerja yang berbeza. Sambungan semula automatik cuba mengembalikan terowong, dan ia boleh berjaya dalam satu saat sementara permintaan gagal dalam sela itu. Suis keselamatan menentukan apa yang berlaku kepada trafik dalam sela itu. Membaca klien seolah-olah kedua-duanya satu tetapan ialah cara orang akhirnya mempercayai ikon dan bukannya dasar.

Menyekat dan bersambung semula adalah keputusan berasingan

Satu klien menyekat hanya apabila kehilangan sambungan tidak dijangka, kemudian bersambung semula dan melepaskan sekatan. Klien lain mengekalkan sekatan peringkat sistem sehingga seseorang menukar tetapan secara manual, dan yang ketiga menganggap pemutusan yang disengajakan sebagai kebenaran untuk memulihkan akses biasa. Ini tiga tingkah laku berbeza, dan dokumentasi vendor menyatakan yang mana dilaksanakan oleh binaan anda.

Mengimport profil tidak memutuskan soalan itu. Profil pelayan yang sama dimuatkan ke dalam dua klien dengan tingkah laku sekatan bertentangan, kerana profil membawa tetapan dan bukan janji. Itulah sebabnya kotak semak di desktop dan suis di telefon dengan label serupa boleh melaksanakan peraturan berbeza. Baca penerangan di sebelah kawalan pada platform anda, kemudian uji apa yang dilakukannya.

Profil yang sama berkelakuan berbeza dalam dua klien

Tetapan aplikasi OpenVPN Connect menerangkan mod terowong yang menahan trafik biasa hanya selagi klien melaporkan keadaan jeda atau bersambung semula, yang lebih sempit daripada janji umum tentang setiap peristiwa pada setiap platform. Baca keadaan yang disenaraikan, bukan nama produk. Penerangan yang ditulis untuk satu binaan klien tidak berpindah kepada klien vendor lain.

Android memaparkan perkataan yang sama untuk dua kawalan, kerana VPN sentiasa aktif dan penyekatan sambungan tanpa VPN didokumenkan secara berasingan. Klien desktop dengan kotak semak bernama serupa mungkin melaksanakan sesuatu yang lebih sempit atau lebih luas daripada kedua-duanya. Anggap label yang dikongsi dalam dua menu sebagai kebetulan sehingga kedua-dua penerangan dibaca. Peranti terurus menambah lapisan ketiga, kerana profil peranti boleh memaksa tetapan yang tidak dilihat atau tidak boleh dibatalkan oleh pengguna.

Tetapan platform yang kelihatan serupa tidak setara

Bandingkan kawalan yang anda lihat dengan dasar yang benar-benar terpakai. Pada peranti terurus, suis yang kelihatan mungkin kelabu, atau mungkin dihidupkan sementara profil peringkat lebih tinggi memaksa sebaliknya. Minta dasar berkesan dan bukan yang setempat, dan dapatkan jawapannya secara bertulis.

Catat apa yang didakwa oleh setiap lapisan sebelum anda menguji apa-apa, kerana kedua-duanya sering tidak sepadan dan ketidaksepadanan itu mudah hilang apabila ujian bermula. Peranti yang menyekat dengan betul semasa ujian mungkin menyekat atas sebab yang tidak didokumenkan oleh sesiapa.

Jalankan satu peristiwa pada satu masa dan catat kodnya

Uji satu peristiwa setiap larian, dengan permintaan tidak berbahaya, dan jadikan setiap percubaan permintaan baharu dan bukan halaman yang mungkin sudah berada dalam cache. Arahan di bawah menurunkan terowong, meminta halaman dan menunjukkan sama ada antara muka kembali.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

Jadual memetakan setiap tindakan kepada pemerhatian yang penting dan bukti yang wajar disimpan. Permintaan yang gagal dalam had masa memberitahu bahawa sekatan berkuat kuasa; permintaan yang lulus memberitahu bahawa trafik menemui laluan lain, yang mungkin laluan yang dikecualikan dan bukan sekatan yang dimatikan. Ulangi seluruh set selepas kemas kini perisian yang bermakna atau perubahan dasar penghalaan, kerana mana-mana daripadanya boleh mengubah cabang tanpa satu tetapan kelihatan bergerak. Pada akhirnya anda mahukan tingkah laku kegagalan yang boleh diramal, bukan ikon yang menenangkan.

Pengecualian, portal tetamu dan apa yang tidak boleh dilakukan sekatan

Akses ke rangkaian setempat ialah pengecualian lazim, dan ia mengubah skop janji. Klien boleh mencapai pencetak pada subnet yang sama sambil menyekat semua yang lain, yang munasabah di rumah dan boleh dipersoalkan pada rangkaian tetamu. Putuskan sama ada pengecualian itu dikehendaki sebelum insiden menemuinya untuk anda.

Sekatan ketat juga menyusahkan log masuk ke portal rangkaian tetamu, kerana portal itu tepat trafik langsung yang sekatan wujud untuk menghentikannya. Pelajari cara yang disokong untuk membenarkan rangkaian, kemudian pulihkan dasar dengan sengaja dan bukannya mematikan kawalan sehingga halaman dimuatkan. Simpan jawapan penyelesai dan jadual laluan dalam nota yang sama, seperti di bawah. Apa yang tidak boleh dilakukan oleh suis keselamatan ialah menjadikan perkhidmatan itu tanpa nama, kerana menyekat trafik di luar terowong tidak mengatakan apa-apa tentang apa yang berlaku di dalamnya.

resolvectl query example.com
ss -tunp | grep -v tun0