Kill switch wara bidla minn Wi-Fi għal ċellulari: x'jinkiser

F'daqqa l-laptop ikun fuq il-Wi-Fi tal-uffiċċju, fil-ħaġa ta' wara jkun marbut ma' telefon, u l-indikatur tal-mina jkun aħdar mill-ġdid qabel ma tispiċċa tbiddel it-twieqi. Dawl aħdar jirrapporta biss li l-mina reġgħet isserrket; x'għamlet il-politika ta' routing u blokkar waqt il-vojt hija domanda oħra. Dik il-politika hija sett ta' kundizzjonijiet ta' tqabbil kompilati fl-aħħar installazzjoni, u ssemmi interface, indirizz u familja tal-indirizzi li l-bidla għadha kemm neħħiet. Għalhekk l-istess bidla tipproduċi tliet riżultati li jidhru identiċi: il-blokkar ikompli, il-politika timblokka l-irkupru tagħha stess, jew tinfetaħ triq li xejn ma jkopriha.

Xejn fuq l-iskrin ma jifred dawk it-tliet stati, għalhekk staqsi liema identifikaturi kienu mwaħħla magħhom ir-regoli minflok liema kulur juri l-indikatur. Fuq Linux regola tista' ssemmi interface jew ipset mimli minnu; fuq Android jista' jingħad lil VpnService liema networks ta' taħt għandu jsegwi permezz ta' setUnderlyingNetworks. Kull rabta tindika lejn konnessjoni li se tiġi sostitwita, u kull waħda trid tiġi evalwata mill-ġdid wara.

X'jgħid mill-ġdid il-bidla fil-fatt

Meta l-konnessjoni l-qadima tispiċċa, il-kernel ineħħi l-indirizzi tagħha, jiġbed lura r-rotot li kienu jgħaddu minnha, u jerġa' jibni l-għażla tal-indirizz tas-sors minn dak li jibqa'. Ir-rotta default tiċċaqlaq lejn il-gateway il-ġdid, u l-index tal-interface li kienu jirreferu għalih ir-regoli l-qodma jkun spiċċa jew ġie riċiklat għal apparat ieħor. Ir-resolvers għal kull konnessjoni jerġgħu jiġu aġġornati wkoll, għalkemm mhux fl-istess mument bħar-rotot. Dan kollu jiġri taħt il-klijent VPN, għalhekk klijent li jara biss l-istat tal-mina tiegħu ma jara xejn minn dan.

Il-problema hija li regola tikkodifika identifikatur speċifiku minflok il-ħsieb warajh. Regola li tarmi kollox li ma joħroġx mill-interface tal-mina tikkodifika isem ta' interface; regola li tippermetti l-punt tat-tmiem tikkodifika indirizz li n-netwerk il-ġdid jista' jidderieġi x'imkien ieħor. Meta l-identifikatur jisparixxi r-regola ma ssirx ovvjament ħażina: jew tieqaf taqbel ma' xejn jew tibda taqbel mal-ħaġa l-ħażina.

Nibnu mill-ġdid il-mina ta' barra mingħajr ma niftħu toqba

It-trasport ta' barra kien marbut mal-indirizz tas-sors il-qadim, għalhekk irid jiftaħ socket ġdid minn dak il-ġdid. Meta l-punt tat-tmiem huwa isem ta' host u mhux indirizz litterali, tfittxija trid tirnexxi waqt li l-blokk għadu fis-seħħ. Din hija n-nassa tal-ordni: politika stretta biżżejjed biex tarmi kollox ħlief il-punt tat-tmiem se tarmi wkoll it-tfittxija meħtieġa biex issibha, sakemm ir-riżoluzzjoni ma sseħħx qabel ma jitneħħa l-blokk jew ma tiġix fil-mina li għadha ħajja. Iż-żewġ ordnijiet jistgħu jaħdmu, imma biss jekk il-klijent ikun jaf f'liema ordni qiegħed.

Il-klijenti jiddifferixxu hawn b'mod li jgħodd fid-dijanjosi. Xi wħud isolvu l-ewwel u mbagħad jinstallaw ir-regoli, għalhekk bidla tiswa waqfa viżibbli u mbagħad tirkupra waħedha; oħrajn iżommu l-blokk u jiddependu fuq il-mina li baqgħet ħajja biex iġġorr it-tfittxija, u dan ifalli għal kollox meta l-mina mietet mal-konnessjoni. Iż-żieda ta' rotta default diretta wiesgħa biex jerġa' jiġi kkonness ix-xorta dejjem tgħaddi t-test u dejjem tħalli t-tnixxija li kont qed tipprevjeni.

Rotta li għadha tindika lejn il-gateway il-qadim tagħti l-istess irkupru mblukkat minn kawża oħra, għalhekk aqra t-tabella qabel ma tagħti tort lill-klijent. Il-kmandi hawn taħt isemmu l-interface u l-indirizz tas-sors li l-kernel tassew juża, u dan jiddeċiedi f'linja waħda jekk it-triq il-qadima għadhiex installata.

ip route get 1.1.1.1
ip -6 route get 2606:4700:4700::1111

Meta l-konnessjoni l-ġdida ġġib IPv6 u r-regoli ma jġibux

In-networks ċellulari u tal-mistiedna spiss jagħtu prefiss IPv6 globali anki meta l-LAN bil-wajer tal-uffiċċju qatt ma għamel dan. Politika miktuba biss bħala regoli IPv4, il-forma default tal-biċċa l-kbira tar-riċetti iptables u nftables magħmula bl-idejn, ma tkopri xejn minn dan. Il-mina tibqa' konnessa, l-applikazzjonijiet li għandhom aċċess IPv6 joħorġu barra minnha, u l-indikatur ma jistax juri d-differenza għax il-mina tassew qiegħda ħajja. Il-każ mera huwa dagstant komuni: sett ta' regoli biss għal IPv6 ma jagħmel xejn fuq network li ma joffrix v6.

Qabbel dak li joffri l-konnessjoni ma' dak li ssemmi l-politika, fuq iż-żewġ naħat tal-bidla. Dawn il-kmandi jistampaw l-istess fatti li bihom jaħdem il-klijent:

ip -4 route show default
ip -6 route show default
sudo nft list ruleset | grep -c 'ip6 '

Jekk it-tieni kmand jistampa rotta default waqt li t-tielet irodd żero, il-konnessjoni l-ġdida tista' toħroġ il-magna permezz ta' IPv6 mingħajr ebda regola ma tħarsilha. Erġa' ħaddem it-tliet kmandi wara l-bidla, għax in-numru interessanti huwa d-differenza bejn iż-żewġ ġirjiet. Jekk it-tieni ma jistampa xejn, japplika l-każ oppost u kull politika tqila fuq v6 hemmhekk hija biss dekorazzjoni.

Ir-resolver ibiddel idejn f'nofs is-sessjoni

Fuq sistemi moderni r-resolvers huma marbuta mal-konnessjonijiet, għalhekk konnessjoni ġdida tasal b'sett ġdid ta' resolvers u forsi b'dehra split-DNS differenti. systemd-resolved iżomm scope għal kull konnessjoni u jagħżel bejniethom skont ir-rotta, filwaqt li macOS jaqra resolvers bl-iskop mill-maħżen dinamiku u jirrispetta l-ordni tal-interfaces. Klijent li jinstalla r-resolver tiegħu jikkompeti ma' dak tal-konnessjoni, u regoli ta' prijorità li ħadd ma jara jiddeċiedu min jirbaħ. Imbagħad ir-riżoluzzjoni tal-ismijiet tista' tinkiser waqt li l-filtrazzjoni tal-pakketti tagħmel eżatt dak li nkitebet għalih.

Aqra r-resolver li huwa attiv u mhux dak konfigurat. Fuq host systemd is-sottokmand status juri minn liema konnessjoni ġie kull scope u jekk isem private-DNS huwiex fis-seħħ:

resolvectl status --no-pager
resolvectl query intranet.example.com

Jekk il-mistoqsija toħroġ mill-konnessjoni fiżika minflok mill-mina, il-klijent tilef il-kompetizzjoni tal-prijorità u l-ebda aġġustament tal-firewall ma jsewwi l-ismijiet. Qabbel it-triq tal-mistoqsija fuq iż-żewġ naħat tal-bidla biex tara liema ċċaqalqet. Isem li jiġi riżolt f'indirizz privat li n-network il-ġdid ma jistax jidderieġi huwa t-tielet każ, u jidher bħala skadenza u mhux bħala żball.

Ipprattika l-bidla u żomm ir-rekord

Irriproduċi l-bidla apposta minflok tistenna għaliha. Tellgħ il-mina fuq l-ewwel konnessjoni, ibda trasferiment twil u tfittxija ripetuta, imbagħad ibdel il-konnessjoni u ara liema tgħix. Innota l-intervall bejn l-għajbien tal-konnessjoni l-qadima u r-rapport tal-mina li hija konnessa, għax f'dik it-tieqa l-politika jew żammet jew ma żammitx. Mexxi s-sekwenza fid-direzzjoni l-oħra wkoll, biex ir-riżultat ma jkunx unilaterali.

L-eċċezzjonijiet jeħtieġu pass tagħhom, għax ċirkomvenzjoni ġġustifikata fuq in-network il-qadim mhijiex awtomatikament ġġustifikata fuq dak il-ġdid. Printer, NAS jew captive portal fuq il-LAN tad-dar m'għandux ekwivalenti fuq iċ-ċellulari, u l-eċċezzjoni li kienet tasal għalih issir regola mingħajr ekwivalenti.

Ikteb l-ismijiet tal-interfaces, il-familji offruti, ir-resolver fis-seħħ u t-tul tal-waqfa għal kull direzzjoni. Konnessjoni mill-ġdid tipprova li t-trasport irkupra, mhux li l-blokk żamm waqt il-vojt, u dawk huma pretensjonijiet separati għal ticket. B'dak ir-rekord il-bidla li jmiss tiġi mqabbla ma' stat magħruf u mhux mal-memorja.