Għala kill switch ineħħi t-traffiku meta tbiddel server
Għala kill switch jimblokka t-traffiku waqt bidla ta' server, x'jagħmel il-klijent f'dak il-waqt u kif tiddistingwi waqfa normali minn blokk imwaħħla.
Inti tagħżel server li jidher eqreb, tagħfas fuq qabbad, u l-brawżer jieqaf jillowdja qabel ma jitla' t-tunnel il-ġdid. L-ikona tinbidel għal stat ta' konnessjoni u tibqa' hemm sakemm kull tab jispiċċa l-ħin tiegħu. Din il-waqfa normalment hija l-kill switch li jaħdem kif iddisinjat: it-traffiku huwa mblukkat sakemm il-klijent m'għandux tunnel li jibgħat bih. Jekk il-waqfa hijiex aċċettabbli tiddependi minn x'jagħmel il-klijent f'dawk is-sekondi, u jekk il-blokk jitneħħiex meta jgħid li jitneħħa.
X'jagħmel il-klijent bejn żewġ servers
Bidla ta' punt final huma diversi passi, mhux swiċċ wieħed. Il-klijent iġġarraf it-tunnel attwali, jaġġorna r-regoli tiegħu ta' blokkar, jissolva u jasal għall-punt final il-ġdid barra mit-tunnel, imbagħad jinstalla r-rotot il-ġodda u jgħolli l-blokk. Il-vojt li tħoss jinsab bejn l-ewwel pass u l-aħħar wieħed.
Hawnhekk l-ordni timporta aktar mill-veloċità. Jekk ir-regoli tal-blokkar jidħlu qabel l-eċċezzjoni għall-punt final il-ġdid, il-klijent ma jistax itemm il-ħidma tal-idejn u jibqa' fuq qabbad sakemm jgħaddi l-ħin. Jekk l-eċċezzjoni hija kopja tal-indirizz tas-server antik, il-ħidma tal-idejn il-ġdida tidher bħal kull pakkett ieħor li joħroġ u tinxteħet. Iż-żewġ każi jidhru l-istess mill-brawżer, u għalhekk bidla li tirkupra wara sitt sekondi u waħda li qatt ma tirkupra jistgħu jaqsmu l-istess kawża.
Il-punt final il-ġdid jeħtieġ toqba fil-blokk
Biex jibni t-tunnel, il-klijent irid jibgħat pakketti lejn l-indirizz u l-port tas-server il-ġdid fuq l-interface fiżika, pereżempju UDP 51820 għal profil WireGuard tipiku jew 1194 u 443 għal OpenVPN, ikun x'ikun li jispeċifika l-profil tiegħek. Dak it-traffiku mhuwiex ġewwa t-tunnel li se jinħoloq dalwaqt, għalhekk blokk għall-apparat kollu jibilgħu sakemm ma jkunx hemm regola ta' permess li taqbel.
Profili bbażati fuq l-isem tal-host iżidu t-tieni rekwiżit: it-tfittxija nnifisha. Jekk il-klijent jissolva l-punt final qabel ma jitla' l-blokk, jista' juża indirizz fil-cache, imma meta l-profil ibiddel l-indirizzi jew l-entrata fil-cache issir qadima, il-ħidma tal-idejn tmur lejn indirizz li r-regola ta' permess ma tkoprix. IPv6 jagħmel dan viżibbli, għax punt final b'żewġ stacks jista' jippubblika kemm rekord A kif ukoll AAAA, u regola ta' permess li tkopri biss l-indirizz v4 tħalli lill-klijent jerġa' jipprova kontra indirizz v6 imblukkat.
L-ismijiet tal-għażliet u l-valuri default ivarjaw skont il-klijent u l-verżjoni, għalhekk aqra l-lista dokumentata tiegħek minflok ma taħsibha minn screenshots. Ir-referenza tas-settings ta' OpenVPN Connect fuq openvpn.net/connect-docs/app-settings-windows hija eżempju ta' kif klijent jiddeskrivi l-għażliet tiegħu ta' blokkar u tunnel maqsum.
Fail-closed hija magna ta' stati, mhux swiċċ
Il-biċċa l-kbira tal-klijenti jesprimu l-blokk bħala politika tal-firewall fi tliet stati: tunnel 'il fuq, bit-traffiku jgħaddi mit-tunnel u l-ebda blokk; tunnel 'l isfel, bil-blokk attiv; u tranżizzjoni, bil-blokk attiv flimkien ma' eċċezzjonijiet temporanji għall-punt final. Huwa fit-tielet stat li jgħixu l-bugs, għax irid jinbidel darbtejn fi ftit sekondi, u li ma toħroġx minnu jidher eżatt bħal blokk permanenti.
Il-mekkaniżmu jvarja skont il-pjattaforma, u l-falliment ukoll. Il-filtri ta' Windows Filtering Platform iġorru piżijiet, għalhekk filtru ta' blokkar li jaqbeż il-permess tiegħek ikompli jixħet pakketti għalkemm il-permess jeżisti, u filtri li ħalla proċess tal-klijent maqtul jistgħu jżommu l-magna offline wara li l-app titlaq. Il-klijenti macOS normalment jiktbu regoli pf f'anchor, fejn l-ordni tar-regoli u d-deċiżjonijiet ħfief jiddeterminaw liema regola tapplika. Il-klijenti Linux normalment jimmaniġġjaw katina nftables jew iptables b'politika drop u permessi espliċiti għall-punt final, l-interface tat-tunnel u l-loopback. Il-VPN dejjem attiv ta' Android bl-għażla li jimblokka konnessjonijiet mingħajr VPN huwa l-aktar strett fil-grupp, għax is-sistema toperattiva tapplika l-blokk għall-apparat kollu u mhux għal kull app.
WireGuard jeħtieġ nota tiegħu, għax AllowedIPs huwa selettur tar-rotot, mhux blokkar. Jiddeċiedi liema destinazzjonijiet jidħlu fit-tunnel; ma jagħmel xejn biex iżomm pakkett li għad m'għandux tunnel milli joħroġ mill-Wi-Fi. F'setup biss WireGuard u mingħajr regola tal-firewall, il-kill switch fil-verità huwa n-nuqqas ta' rotta, u wara ħidma tal-idejn imxejta jista' joħroġ pakkett reali mill-interface fiżika.
Kejjel il-vojt minflok ma tħares lejn l-ikona
Iċċekkja l-pakketti, mhux id-dawl tal-istat. Fuq Linux ibda ping bil-mod lejn indirizz pubbliku f'terminal wieħed u aqbad il-port tat-trasport tat-tunnel fuq l-interface fiżika f'ieħor:
ping -i 0.2 -c 100 1.1.1.1 | tail -5
sudo tcpdump -ni eth0 'udp port 51820'
Biddel is-server fil-klijent waqt li t-tnejn qed jaħdmu. Tliet affarijiet jimportaw: kemm idumu wieqfa l-pings, jekk il-qabda turix il-ħidma tal-idejn tasal għall-punt final il-ġdid, u jekk it-traffiku jerġax lura qabel jew wara li l-istat tal-klijent jinbidel għal konness. Jekk il-vojt tal-pings jintemm l-ewwel, jew il-blokk tneħħa kmieni wisq jew it-tunnel huwa 'l fuq qabel ma l-indikatur jammettih. Jekk il-vojt jintemm aktar tard, l-indikatur huwa ottimist iżżejjed.
Fuq Windows, netsh wfp show state jikteb snapshot li fih tista' tfittex filtri ta' blokkar li għadhom hemm waqt li l-klijent jgħid li hu skonnettjat. Fuq macOS, sudo pfctl -sr jelenka r-regoli mgħobbija u l-ordni tagħhom. Ikkonnetta kwalunkwe snapshot mal-log tal-klijent stess; il-linja tal-ħin mill-ping tiegħek tgħidlek jekk il-blokk spiċċax tard jew qatt.
Tfalija normali kontra blokk imwaħħla
Ftit interruzzjoni hija l-għan ta' din il-karatteristika, għalhekk agħmel triage qabel ma tbiddel kwalunkwe setting:
| What you see | Usually means | Next check |
|---|---|---|
| Two or three seconds of timeouts, then normal browsing | Expected fail-closed gap | Nothing to fix |
| State says connected, traffic stays dead | Block filter or route left behind | Firewall snapshot, client log |
| One app dead while others work | TCP session bound to the old exit address | Restart the app |
| LAN devices unreachable after the switch | LAN exception not reapplied | Allow-LAN or split-tunnel setting |
| New server hangs, the old one reconnects | Permit covers only the old address | Resolved address of the new host, including AAAA |
Jekk tispiċċa fit-tieni jew fil-ħames ringiela, tintefiax il-kill switch biex tittestja, għax dan ibiddel bug tar-rotot f'leak. Erġa' ibda s-servizz tal-klijent, jew erġa' ibda l-magna fejn il-filtri jibqgħu jeżistu wara li proċess jinqatel, imbagħad ara jekk il-blokk jitnaddafx. Jekk jitnaddafx, il-ħtija hija fit-tindif waqt il-bidla u mhux fil-blokk innifsu.
Qabel il-bidla li jmiss, ikkonferma erba' affarijiet: il-permess tal-punt final ikopri kull familja ta' indirizzi li jissolva l-profil tiegħek, il-log tal-klijent juri t-tranżizzjoni mitmuma, it-test tal-ping tiegħek ikejjel il-vojt u mhux l-ikona, u li tagħlaq il-klijent iġġib lura l-konnessjoni normali. Kill switch li jżomm waqt il-bidla u jħalli wara jagħmel xogħlu. Wieħed li jħalli kmieni, jew qatt, jistħoqqlu debugging.