Kill switch għal kull app kontra l-illokkjar tal-apparat kollu: x'jinbidel
Iddeċiedi skont is-sett protett, mhux skont it-tikketta: x'jieqaf għall-apps esklużi, l-għajnuna fil-background u konnessjonijiet ġodda, u kif tittestja kull każ.
Kill switch għal kull app jinstema' bħall-għażla kawta: meta jaqa' t-tunnel, il-klijent tax-xogħol biss jitlef in-netwerk tiegħu, u kull ħaġa oħra tibqa' taħdem. Imbagħad xi ħadd jinnota li l-browser personali xorta waħda għabba paġna, li l-għajnuna tas-sinkronizzazzjoni li ġiet mal-istess pakkett baqgħet tipprova, u li isem fil-cache xorta waħda ġie riżolt għal indirizz li qatt ma mess it-tunnel. It-tikketta fuq il-karatteristika u s-sett ta' konnessjonijiet li hija tassew tipproteġi huma żewġ affarijiet differenti. L-ewwel iddetermina s-sett protett, għax dak is-sett jiddeċiedi jekk l-infurzar għal kull app jew l-illokkjar tal-apparat kollu huwiex id-deskrizzjoni onesta.
Ibda mis-sett, mhux mit-tikketta
Politika għal kull app tipproteġi apps magħżula. L-illokkjar tal-apparat jimmiraw lejn fruntiera tan-netwerk usa', normalment b'eċċezzjonijiet dokumentati għall-istampar lokali, it-traffiku tal-ġestjoni jew portalijiet captive. L-ebda tikketta mhija kompluta sakemm tkun tista' twieġeb tliet mistoqsijiet: x'jiġri mill-apps esklużi, x'jiġri mill-għajnuna li dawk l-apps iniedu, u x'jiġri mill-konnessjonijiet li jinfetħu waqt li l-protezzjoni mhijiex disponibbli.
Ikteb dawk it-tweġibiet qabel ma tmiss xi setting tal-klijent. Jekk il-ħtieġa hija "dan il-klijent tal-pagi qatt m'għandu jitkellem mal-internet barra mit-tunnel, u l-browser tiegħi jista'", is-sett huwa żgħir u l-infurzar għal kull app jaqbel. Jekk il-ħtieġa hija "xejn fuq dan l-apparat ma jasal għall-internet mingħajr protezzjoni, ħlief is-servizz tal-aġġornament", l-ebda politika għal kull app mhi se tipproduċiha, għax l-apps li ma semmejtx huma l-problema.
L-infurzar għal kull app iqabbel identifikaturi, mhux ismijiet ta' programmi
Android jesponi VPN għal kull app permezz ta' pakketti, u d-dokumentazzjoni VpnService tiegħu tiddeskrivi kif dan jinteraġixxi mat-tħaddim dejjem mixgħul u mal-imblukkar. iOS jikkonfigura VPN għal kull app permezz ta' profil tal-ġestjoni u jaqbel skont l-app jew skont id-dominju. Windows u Linux m'għandhom l-ebda rotta għal kull proċess, għalhekk l-istess idea hija approssimata b'regola tal-firewall limitata għal programm jew b'regola li taqbel mal-utent sid.
Il-fruntiera hija l-identifikatur, u l-identifikaturi huma faċli li jiġu evitati. App li tagħti URL lill-browser tas-sistema, jew li tiftaħ dokument f'viżwalizzatur, tgħaddi għal proċess li l-politika tiegħek qatt ma semmiet. Għażla li ttemm mal-waqgħa lanqas mhija filtru tal-pakketti: toqtol l-app li kkonfigurajt, filwaqt li proċess iben, ħaddiem tal-kju jew tab tal-browser jistgħu jżommu socket eżistenti ħaj.
L-illokkjar ikopri dak li politika għal kull app ma tistax tara
L-illokkjar tal-apparat kollu jneħħi l-għażla. Kull pakkett li joħroġ u li ma jappartjenix lit-tunnel jintrema, inkluż it-traffiku minn proċessi li l-politika tal-apps tiegħek qatt ma kienet taf bihom. Fuq Android dan huwa VPN dejjem mixgħul flimkien mas-setting li timblokka l-konnessjonijiet, u l-infurzar iseħħ fis-sistema, mhux fit-tieqa tal-klijent. Fuq desktop hija regola tal-firewall persistenti jew rotta default lejn gateway li ma jintlaħaqx.
L-ispiża hija li kull ħaġa oħra tieqaf, għalhekk l-eċċezzjonijiet isiru parti mid-disinn minflok ħsieb tard. Stampanti lokali, skoperta tas-servizzi, dħul fil-portalijiet captive, aġenti tal-ġestjoni u aġġornamenti tal-OS kollha jeħtieġu toqba dokumentata, għax kull waħda hija triq li tibqa' miftuħa meta t-tunnel ikun waqaf. L-illokkjar huwa biss b'saħħtu daqs l-iqsar entrata f'dik il-lista.
DNS, IPv6 u l-għajnuna fil-background jaħbu t-tnixxijiet
Li app protetta ma tirnexxix tirriżolvi isem ma jippruvax li t-tweġibiet fil-cache jew it-traffiku IP dirett huma mblukkati. Jekk ir-resolver għadu jintlaħaq barra mit-tunnel, l-isem jiġi riżolt u l-konnessjoni tfalli, li jidher bħal kill switch li jaħdem u mhuwiex. Agħar minn hekk, rekord fil-cache jista' jindika indirizz li t-tunnel ma jġorrx, għalhekk il-konnessjoni toħroġ direttament waqt li l-app tirrapporta żball tal-VPN.
IPv6 jeħtieġ regola tiegħu fuq kull pjattaforma li taħdem bih, għax regola ta' tqegħid għal v4 ma tkoprix rotta v6. Fuq il-mowbajl, setting ta' DNS privat jista' jċaqlaq ir-riżoluzzjoni f'kanal encrypted li l-politika tal-apparat ma tispezzjonax. U l-għajnuna fil-background hija l-ħati tas-soltu fuq desktop: proċess tal-aġġornament jew tas-sinkronizzazzjoni fit-tray jibda qabel il-klijent VPN u jżomm il-konnessjoni tiegħu stess, għalhekk qatt ma jara r-rotta mibdula.
Ittestja tliet apps u żewġ tranżizzjonijiet
| Test | What it proves |
|---|---|
| Included app, by name and by direct IP | the policy is applied, not just the resolver |
| Excluded app, same checks | the exclusion is intentional and documented |
| Helper or updater process | nothing inherited an older route |
| Tunnel drop, then Wi-Fi to cellular | the block survives the transition |
Ħaddem kull ringiela darbtejn, darba b'isem tal-host u darba b'indirizz litterali, u darba oħra fuq IPv6 jekk in-netwerk joffrih. Pass ifisser li l-app inkluża waqfet, dik eskluża aġixxiet kif ktibt, u l-għajnuna ma żlixet barra. Irreġistra l-imġiba diretta li ddeċidejt li hija aċċettabbli, sabiex l-amministratur li jmiss jista' jiddistingwi eċċezzjoni maħsuba minn falliment.
Imbagħad iddeskrivi r-riżultat f'sentenza waħda li ssemmi l-apps u l-kundizzjonijiet, pereżempju: il-klijent tal-pagi m'għandux rotta barra mit-tunnel, il-browser huwa dirett skont id-disinn, u kull ħaġa oħra tieqaf meta t-tunnel ikun waqaf. Jekk dik is-sentenza hija diffiċli tinkiteb, il-politika għadha żewġ politiki li jiġġieldu ma' xulxin.