Il-kill switch jimblokka s-server VPN qabel ma jgħaddi xi traffiku
Liema stadju qed jimblokka kill switch: it-tfittxija tal-punt tat-tmiem, ir-rotta ta’ barra, it-triq lura u eċċezzjonijiet tal-pari skaduti — b’numraturi minflok suppożizzjonijiet.
Il-kill switches ifallu f’direzzjoni li n-nies ma jistennewx: huma mibnija biex jimblukkaw it-traffiku waqt li t-tunnel ikun baxx, u l-pakketti li jibnu t-tunnel huma huma stess traffiku. Dan huwa l-iżball kollu. Sett ta’ regoli li jarmi kollox li ma joħroġx mit-tunnel jarmi wkoll il-handshake li suppost jerfgħuh, għalhekk il-klijent jerġa’ jipprova f’linja u l-iżball jiġi attribwit lil dak l-istadju li jiġi ċċekkjat l-ewwel. Qabel ma twessa’ firewall, sib liema mit-tliet stadji qed jiġi miċħud: it-tfittxija tal-isem, il-pakkett ta’ barra lejn il-pari, jew it-tweġiba li tiġi lura.
Kif it-tunnel u t-trasport tiegħu stess jiddependu minn xulxin
Aqra klijent VPN bħala żewġ stati tan-netwerk li jaqsmu triq waħda tas-sokit. Qabel ma jeżisti t-tunnel, il-klijent jiftaħ sokit fuq l-adapter fiżiku u jibgħat frejms encrypted lejn l-indirizz u l-port tal-pari. Biss wara li dak l-iskambju jirnexxi joħloq l-apparat tat-tunnel u jinstalla r-rotot. Kill switch hija politika dwar it-tieni stat, miktuba daqshekk wiesgħa li tapplika għat-tnejn.
Regoli bbażati fuq l-interface huma l-forma tas-soltu: aċċetta dak li joħroġ permezz ta’ tun0 jew wg0, armi l-bqija tat-triq tal-ħruġ. Dik il-formulazzjoni ma tistax teħles il-konnessjoni tal-klijent stess mas-server, għalhekk implimentazzjoni korretta żżid dak l-eċċezzjoni b’mod espliċitu, u int ukoll meta tikteb regoli bl-idejn. Regoli għal kull applikazzjoni fuq Windows u macOS jevitaw parti minn dan billi jqabblu proċess minflok interface, iżda l-proċess xorta jrid joħroġ qabel ma jeżisti t-tunnel.
Tliet stadji, fl-ordni li fihom iseħħu
L-ewwel stadju huwa r-riżoluzzjoni. Meta l-profil jaħżen isem tal-host minflok indirizz litterali, il-klijent jeħtieġ tweġiba DNS qabel ma jista’ jibgħat xi ħaġa. Profil li jidderieġi d-DNS lejn is-solver tat-tunnel joħloq konflitt: is-solver huwa aċċessibbli biss permezz tat-tunnel li t-tfittxija suppost tippermetti. Ir-riżoluzzjoni barra mit-tunnel, jew l-irbit tal-punt tat-tmiem ma’ indirizz, tneħħi din l-ambigwità.
It-tieni stadju huwa l-pakkett ta’ barra, li għandu jiflaħ l-ewwel ir-rotta u mbagħad il-firewall, f’dak l-ordni. wireguard-tools jieħu ħsieb nofs ir-rotta ta’ dan għal WireGuard billi jimmarka l-pakketti tiegħu stess u jżid regola ta’ politika biex jaqbżu r-rotta default li għadu kif installa; il-paġna tal-manwal ta’ wg-quick tiddeskrivi dik ir-regola u t-tabella li tuża. Ibni mill-ġdid dik ir-rotta bl-idejn, jew ħalli għodda oħra terġa’ tikteb ir-regoli, u l-pakketti mmarkati jistgħu jintbagħtu lura fit-tunnel li suppost joħolqu.
It-tielet stadju hija t-triq lura. Handshake mingħajr tweġiba mhuwiex prova ta’ tfigħ il barra; huwa daqstant konsistenti ma’ regola ta’ dħul tas-server jew apparat NAT li nesa l-mapping. Aqsam dawn qabel ma tmiss il-klijent.
| What you see | Stage | Where to look |
|---|---|---|
| The client log repeats a resolve step and no packets appear on the wire | 1, name lookup | Resolver path while the tunnel is down |
| The send counter on the physical adapter stays flat | 2, routing | Peer route and policy rules |
| The send counter rises and a firewall drop counter rises | 2, firewall | Rule order, mark, and interface match |
| Packets leave and nothing comes back | 3, return path | Server input rules, NAT, listening port |
Il-klijenti jirreġistraw is-sintomu li jindunaw bih, mhux l-istadju li falla, għalhekk it-tabella normalment tkun aktar mgħaġġla mil-log.
In-numraturi jiddeċiedu aktar malajr mil-logs
Fuq Linux, nft list ruleset jew iptables -vnL OUTPUT jistampa numratur tal-pakketti għal kull regola. Qabbad darba, ħallih ifalli, imbagħad erġa’ aqra n-numraturi. Regola li n-numratur tagħha ċċaqlaq hija regola li l-handshake laqat; jekk xejn ma ċċaqlaq imkien, il-pakkett qatt ma wasal għall-firewall. Rajt sett ta’ regoli jarmi l-handshake tiegħu stess, u n-numraturi biss qalu dan.
Biex tifred qatt ma wasal għall-firewall minn qatt ma ħareġ mill-host, osserva l-interface stess. ip -s link show dev wlan0 jirrapporta l-pakketti mibgħuta, u tcpdump -ni wlan0 udp port 51820 juri l-frejms. Jekk jibqa’ ċatt waqt li l-klijent jerġa’ jipprova, il-ħsara tinsab fuq netfilter: rotta tal-pari neqsin, regola ta’ politika li tindika apparat li għadu ma jeżistix, jew żball tas-sokit li l-klijent jibla’.
Ittestja l-eċċezzjonijiet fuq indirizzi tad-dokumentazzjoni bħal 203.0.113.10, biex żball ma jistax jiskopri l-host ta’ ħadd ieħor.
Eċċezzjoni tal-punt tat-tmiem skaduta tinqara bħala waqfa tas-server
L-aktar verżjoni qarrieka tidher wara li jinbidel l-indirizz tal-pari: servizz ta’ indirizz dinamiku ċaqalqu, il-host inbena mill-ġdid, jew l-indirizz tal-ħruġ tan-netwerk tiegħek huwa differenti. L-eċċezzjoni għadha ssemmi l-indirizz antik, għalhekk il-pakketti lejn dak il-ġdid jaqgħu fuq ir-regola tat-tfigħ. L-istess konfigurazzjoni ħadmet ilbieraħ, u għalhekk in-nies jibdew bl-istħarriġ tas-server.
Isem tal-host ġewwa regola tal-firewall ma jsalvakx. F’nftables l-isem jiġi riżolt meta s-sett tar-regoli jiġi mgħobbi, għalhekk jiffissa l-indirizz li kien jeżisti f’dak il-mument u jsir skadut bħal indirizz litterali. Is-soluzzjoni dejjiema hija li taġġorna l-eċċezzjoni meta jinbidel il-punt tat-tmiem u żżommha dejqa: indirizz wieħed tal-pari, port wieħed tat-trasport. Firxa wiesgħa biżżejjed biex tiflaħ bidla fl-indirizz hija wiesgħa biżżejjed ukoll biex tħalli traffiku mhux relatat joħroġ.
Meta l-kill switch jaħdem fuq il-host tas-server
L-istess dipendenza teżisti fit-tarf l-ieħor, u hemmhekk hija aktar faċli li taqbiżha. Jekk il-magna li taqdi bħala s-server VPN tiegħek tħaddem ukoll klijent tad-desktop b’kill switch, jew profil tal-firewall ikkupjat minn laptop, ir-regoli tat-tfigħ tiegħu japplikaw għas-servizz li jtemm it-tunnels. It-tweġibiet għall-handshake tal-klijent jintremew, għalhekk kull klijent ifalli biex jgħaqqad waqt li s-server jidher f’saħħtu u l-interface tat-tunnel tiegħu tqatta’ bla użu.
Dak il-host jeħtieġ tliet aċċettazzjonijiet dojoq qabel it-tfigħ: il-port tas-smigħ fuq l-interface fiżika, l-interface tat-tunnel għat-traffiku deċifrat, u l-indirizzar mill-ġdid mit-tunnel lejn dak li l-klijenti għandhom jilħqu. Aqra s-sett installat b’ nft list ruleset, iptables -S, jew pfctl -sr qabel ma tbiddel xi ħaġa, u ftakar li sett ta’ regoli salvat jibqa’ wara restart, għalhekk żball hemmhekk jibqa’ aktar mill-proċess li għamlu.
Ordni ta’ rkupru li jżomm il-magna magħluqa
Aħdem mill-profil il barra. Aqra l-indirizz u l-port tal-pari li juża l-klijent, ikkonferma li l-isem tal-host jiġi riżolt mingħajr it-tunnel, imbagħad żid eċċezzjoni waħda għal dak l-indirizz u port biss fuq l-adapter fiżiku. Erġa’ qabbad u osserva n-numratur tal-bgħit; handshake komplut huwa s-sinjal li t-tieni stadju ġie msewwi.
Ħalli l-bqija tal-politika tat-tfigħ fil-post waqt l-ittestjar. Kontroll bla ħsara huwa li tipprova konnessjoni ma’ indirizz tad-dokumentazzjoni mhux relatat u tikkonferma li għadu jiskadi, li juri li l-kill switch qed jaħdem u mhux mitfi. Issikkta l-eċċezzjoni meta t-tunnel ikun stabbli, u tħallix permess permanenti għal kollox għall-binary tal-klijent biss għax huwa komdu.
Jekk it-tunnel jogħla u l-applikazzjoni għadha tfalli, l-istadji li jifdal mhumiex dan: DNS maqsum, MTU u rotot għal kull applikazzjoni kull wieħed jipproduċi tunnel konness bi traffiku miksur, u kull wieħed għandu l-ewwel kontroll differenti.