Always-on VPN jew kill switch: liema waħda fil-fatt tat?

Always-on u kill switch jinsabu żewġ linji 'l bogħod minn xulxin fl-istess skrin tas-settings, għalhekk in-nies jaqrawhom bħala żewġ ismijiet għal funzjoni waħda. Mhumiex. Always-on hija politika ta' qbid mill-ġdid: ibda t-tunnel waqt il-boot, ġibu lura wara crash jew bdil fin-netwerk, u kompli ppruvaj sakemm ifalli. Il-kill switch hija politika tat-traffiku: jismi liema pakketti xorta jistgħu jħallu l-magna waqt li t-tunnel ikun niżel. Tista' tixgħel l-ewwel mingħajr it-tieni, u fuq ħafna pjattaformi r-riżultat awtomatiku għadu jħalli t-traffiku joħroġ f'dak il-vojt.

Verifika 1: il-blokk hija swiċċ tiegħu stess?

Fuq Android 10 u wara, profil VPN salvat jiftaħ żewġ toggles indipendenti wara l-ikona tal-ger: Always-on VPN u Block connections without VPN. It-tieni biss huwa l-kill switch. B'always-on biss it-tunnel jerġa' jiġi wara qtugħ, u kull app nofs talba tista' tasal għan-netwerk permezz ta' Wi-Fi jew data mobbli sakemm dan iseħħ.

Apparati mmaniġġjati jżommu l-istess qsim fl-API tal-politika. setAlwaysOnVpnPackage() jieħu l-isem tal-pakkett u flag lockdownEnabled; amministratur li jistabbilixxi l-pakkett u jħalli l-flag false ikun bena tunnel persistenti, mhux apparat magħluq. Il-kliem fil-console rari jagħmel dik id-differenza viżibbli.

Aqra l-istat mill-apparat, mhux mill-console: adb shell settings get global always_on_vpn_app u adb shell settings get global always_on_vpn_lockdown. Jekk l-ewwel jirritorna null, ebda pakkett mhu infurzat fil-livell tal-pjattaforma; jekk it-tieni jirritorna 0, il-pjattaforma mhijiex timblokka xejn. Il-Gwida tal-VPN ta' Android tiddokumentahom bħala kapaċitajiet separati, mhux mod wieħed.

Verifika 2: liema saff jippossjedi l-blokk?

It-tikketti jgħixu fil-klijent u l-blokki normalment fil-firewall, għalhekk l-istess kelma tfisser ħaġa differenti fuq kull pjattaforma. Ir-ringieli hawn taħt huma dawk li jiswew li tiġi kkonfermata qabel ma tafda lil waħda minnhom.

Windows huwa l-aktar eżempju ċar ta' tikketta li ma timblokkax. Hemmhekk Always On jiddeskrivi l-persistenza tat-tunnel: tunnel tal-apparat għall-awtentikazzjoni tal-magna u tunnel tal-utent għall-kont illoggjat, ikkonfigurat permezz ta' XML tal-profil jew Add-VpnConnection. Xejn f'dak il-profil ma jwaqqaf pakkett ħiereġ meta t-tunnel ikun nieqes, u l-iffiltrar ħiereġ mhuwiex mixgħul b'mod awtomatiku, għalhekk laptop fuq Wi-Fi jibqa' jaħdem waqt li l-VPN ikun niżel.

WireGuard jinqasam bl-istess mod, iżda skond il-klijent. WireGuard for Windows għandu għażla Block untunneled traffic għal kull tunnel li tinstalla regoli tal-filtru; l-għodda tal-Linux m'għandhiex swiċċ bħal dan. wg-quick iżid rotta għal kull entrata AllowedIPs flimkien ma' regola fwmark, u wg-quick down ineħħi t-tnejn, għalhekk ir-rotta awtomatika fiżika terġa' tieħu f'idejha mingħajr ma jintilef ebda pakkett.

Fuq pjattaformi Apple, always-on jiġi bħala karatteristika tal-profil tal-ġestjoni għal apparati sorveljati u jiġi espress bħala regoli on-demand, mhux bħala kaxxa tal-immakkar. Il-mistoqsija li trid tiġi mwieġba mill-payload hija jekk tunnel fallutx jirrifjutax it-traffiku jew sempliċement jitlob konnessjoni oħra. It-titlu tal-menu mhux se jgħidlek.

Verifika 3: kejjel il-vojt, mhux l-ikona

Erba' transizzjonijiet huma importanti, u jfallu b'modi differenti: il-boot qabel ma jidħol ħadd, l-irqad u l-qawmien, il-bdil minn Wi-Fi għal data mobbli, u crash tal-klijent li jħalli l-interface tat-tunnel nofs konfigurat. Qbid mill-ġdid nadif fuq waħda minnhom ma jipprova xejn dwar it-tlieta l-oħra.

L-irħas test iwaqqaf it-tunnel apposta u mbagħad jipprova joħroġ. Waqt li t-tunnel ikun niżel, curl -m 5 -sS -o /dev/null -w '%{http_code}' https://example.com li jirritorna 200 ifisser li l-politika hija fail-open; timeout jew konnessjoni rrifjutata tfisser li xi ħaġa għadha timblokka. ip route get 1.1.1.1 jismi l-interface li jġorr il-pakkett, li normalment huwa iktar informattiv mill-ikona tat-tray, u systemctl status wg-quick@wg0 juri jekk l-interface tneħħietx b'mod nadif.

Ħaddem l-istess verifika fit-tieni tieqa waqt li n-netwerk qed jinbidel, mhux biss wara li joqgħod. L-intervall bejn il-qtugħ u l-prova mill-ġdid huwa l-parti li timporta, u s-soluzzjoni tal-ismijiet hija l-aktar mod mgħaġġel biex tinduna li t-traffiku ħarab: jekk is-solver lokali jwieġeb waqt li t-tunnel ikun niżel, il-blokk mhuwiex sħiħ.

Verifika 4: iddeċiedi l-eċċezzjonijiet qabel ma tissakkar

Żewġ eċċezzjonijiet huma strutturali. Il-klijent irid jasal għas-server VPN innifsu, għalhekk sett ta' regoli li jwaqqa' kollox ifixkel ukoll il-qbid mill-ġdid li jġib lura l-protezzjoni. Anki l-captive portal ma jintlaħaqx permezz ta' tunnel li mhuwiex mgħolli, għalhekk apparat imsakkar fuq il-Wi-Fi tal-lukanda jeħtieġ mod dokumentat biex jiftaħ il-portal, mhux improvizzat.

Forma minima, l-endpoint permess u kollox ieħor imwaqqa':

table inet vpnlock {
  chain output {
    type filter hook output priority 0; policy drop;
    oifname "lo" accept
    ip daddr 203.0.113.10 udp dport 51820 accept
    oifname "wg0" accept
  }
}

Ittratta dik il-linja tal-endpoint bħala varjabbli, mhux kostanti. Il-fornituri jibdlu l-indirizzi, u eċċezzjoni skaduta hija r-raġuni tas-soltu għaliex kill switch li jaħdem isir apparat li ma jistax jerġa' jinqabad. Printers lokali, kondiviżjonijiet NAS u servizzi tal-iżvilupp jappartjenu għall-istess lista miktuba, inkella jinstabu bilqiegħda bilqiegħda permezz ta' ticket ta' appoġġ.

Verifika 5: irreġistra dak li fil-fatt ippruvajt

Żomm tabella b'erba' kolonni u milha bit-testjar: stat, imġieba mistennija, imġieba osservata, evidenza. Ir-ringieli huma t-transizzjonijiet mill-verifika 3 flimkien ma' falliment wieħed apposta. Ringiela li ma tistax timliha bl-output ta' kmand hija ringiela li ma testjajtx, u apparat li jgħaddi r-ringiela tal-qbid mill-ġdid imma jfalli fir-ringiela tal-boot huwa komuni biżżejjed biex ikun jiswa l-għaxar minuti żejda.

Qabel ma ssejjaħ dan lest:

• Ikkonferma li s-setting tal-imblukkar hija separata mis-setting tal-qbid mill-ġdid, u aqra l-valur tagħha fuq l-apparat.
• Kun af liema saff jinfurza l-blokk - għażla tal-klijent, politika tal-apparat jew firewall - u fejn dan is-saff huwa kkonfigurat.
• Żomm kmand ta' verifika wieħed li jipprova l-blokk, u ħaddmu waqt transizzjoni, mhux wara.
• Ikteb il-lista tal-eċċezzjonijiet, l-endpoint inkluż, u noti min iġeddedha.
• Fuq hardware mmaniġġjat ħalli l-politika infurzata waħedha; it-tneħħija tal-blokk tbiddel ir-rekwiżit minflok issewwi t-tunnel.