Żewġ applikazzjonijiet VPN fl-istess ħin: liema kill switch tapplika tassew?
It-tieni klijent VPN qatt ma jiret il-kill switch tal-ewwel wieħed. Tliet kundizzjonijiet jiddeċiedu liema politika tapplika, u kif tivverifika tiegħek.
Żewġ klijenti VPN jistgħu jaħdmu ħdejn xulxin, iżda l-kill switches tagħhom ma jingħaqdux f’politika waħda. Kull klijent jinstalla regoli għat-tunnel tiegħu stess, u ħadd minnhom ma jaf li l-ieħor jeżisti. Iltaqjt dan b’klijent tax-xogħol konness l-ewwel: it-tieni applikazzjoni ma setgħetx tlesti l-handshake tagħha, baqgħet fuq „Connecting“ għal għaxar minuti, u l-ewwel tunnel ġarr kollox bil-kwiet. Jekk it-tieni applikazzjoni tiġix protetta jiddependi minn tliet kundizzjonijiet, mhux minn jekk iż-żewġ ikoni jgħidux Konness.
Għal xiex huwa fil-fatt limitat kill switch
Xejn fis-sistema operattiva m’għandu bandiera waħda ta’ kill switch. Klijent li jippubbliċizza waħda jinstalla sett ta’ regoli: warrab kollox li ma joħroġx mit-tunnel tiegħi, u spiss fail closed meta t-tunnel jisparixxi. Fuq Linux normalment hija katina nftables jew iptables, fuq Windows sett ta’ filtri Windows Filtering Platform, fuq Android u iOS l-instradar proprju tas-servizz tat-tunnel flimkien mas-setting tas-sistema li timblokka konnessjonijiet mingħajr VPN. Il-gwida VPN ta’ Android tiddeskrivi dak il-mudell ta’ servizz jekk trid il-veduta tal-pjattaforma.
L-ambitu huwa l-parti li tgħodd. Regola bħal „ippermetti biss pakketti fuq l-interface tal-ħruġ wg0“ ma tinteressax ruħha jekk teżistix it-tieni tunnel. Jekk klijent ieħor iqajjem wg1, ir-regoli tal-ewwel klijent jittrattaw dawk il-pakketti bħala traffiku ordinarju: normalment jintremew, kultant jitħallew. Kif inhu, huwa l-ewwel klijent li jiddeċiedi, u m’għandux idea li t-tieni applikazzjoni qed tistenna.
Tliet kundizzjonijiet li jiddeċiedu min jiġi kopert
M’għandekx bżonn telenka kull taħlita. Tliet mistoqsijiet isolvuha fi ftit minuti.
- Il-pjattaforma tippermetti t-tieni tunnel xejn? Il-biċċa l-kbira tat-telefowns Android u l-iPhones jaċċettaw biss servizz VPN attiv wieħed għal kull profil tal-utent, għalhekk it-tieni applikazzjoni qatt ma jkollha tunnel u qatt ma tinforza xejn. Ikollok politika waħda, mill-applikazzjoni li rebħet il-post.
- Liema proċess jippossjedi r-rotta default? Windows, macOS u Linux iġorru żewġ tunnels mingħajr problemi. Ir-rotta default tappartjeni lill-klijent li kkonfiguraha l-aħħar jew bl-aħjar metrika, u l-klijent l-ieħor ikun konness iżda inattiv. Fuq Linux il-modalità tar-rotta default ta’ wg-quick tuża rqaq ibbażat fuq il-politika b’tabella privata u regola fwmark, għalhekk it-tieni tunnel ta’ wg-quick iżid regola konkorrenti minflok ma jissostitwixxi l-ewwel waħda.
- Jista’ t-tieni klijent jasal għas-server tiegħu stess? Jekk l-ewwel kill switch huwa default-deny, il-punt tat-tmiem ta’ barra tat-tieni applikazzjoni huwa biss destinazzjoni oħra mwarrba. Jipprova jerġa’ bil-kwiet u qatt ma jirrapporta żball.
Il-verżjoni qasira, għall-ħjut ta’ appoġġ:
| Setup | What you actually get |
|---|---|
| Second client cannot hold a tunnel | One active policy; the other app only reports that it is waiting |
| Both tunnels up, second took the default route | The first kill switch blocks traffic it never meant to touch; the connection dies, or leaks if its rules are broad |
| First kill switch allows only its own endpoint and interface | Second client never connects; first tunnel unaffected |
| Both up, DNS written by whichever client ran last | Name resolution breaks for one side when either tunnel drops |
Tnejn minn dawk ir-ringieli jidhru identiċi mill-ikona fil-kaxxa tas-sistema, u għalhekk l-ikona hija l-agħar prova disponibbli hawn.
X’jitlef l-ewwel, u kif jidher
Klijent li jibqa’ mwaħħal fuq „Connecting“ waqt li l-ieħor huwa b’saħħtu kważi dejjem ifisser ġuħ tal-punt tat-tmiem: il-kill switch li qed jaħdem iwarrab il-handshake tat-tieni klijent lejn is-server tiegħu stess. Ikkonfermaha b’mod irħis billi tippawsa r-regoli ta’ blokk tal-ewwel klijent għal prova waħda. Jekk it-tieni jikkonnettja minnufih, il-mistoqsija hija mwieġba.
Id-DNS huwa t-tieni falliment. Il-klijenti jistabbilixxu l-konfigurazzjoni tar-resolver għall-interface tagħhom stess, u xi wħud jiktbu fuq il-lista globali għal kollox. Biż-żewġ tunnels ’il fuq, il-mistoqsijiet jistgħu joħorġu minn naħa waħda waqt li r-resolver jappartjeni lill-oħra. Skonnettja kwalunkwe applikazzjoni u l-waħda li tibqa’ żżomm server tal-ismijiet li ma jintlaħaqx: il-paġni jieqfu għal minuta u mbagħad jerġgħu jiġu riżolti, waqt li l-VPN għadu juri konness.
It-tielet huwa l-flapping tar-rotot. Rikonnessjonijiet jerġgħu jordnaw ir-rotta default, u kill switch marbut ma’ interface ma jsegwihiex. It-traffiku li kien fit-tunnel mument ilu issa jaqbel ma’ regola ta’ twarrib, li min-naħa tal-utent tinqara bħala VPN li tieqaf taħdem bl-addoċċ.
Ivverifika liema politika hija tassew fis-seħħ
Agħmel dan b’traffiku bla ħsara, mhux b’xi ħaġa li kienet tonqosek.
Fuq Linux staqsi lill-kernel min jirbaħ u miegħiex jorbtu l-firewall. ip -4 route show default isemmi t-tunnel li jippossjedi l-ħruġ. ip rule show juri jekk l-instradar ibbażat fuq il-politika hux fil-logħba. sudo nft list ruleset | grep -n oifname juri jekk it-twarrib huwiex marbut ma’ isem tal-interface, ma’ marka, jew mal-katina tal-ħruġ kollha.
Fuq Windows l-istess storja tgħix fil-metrika tar-rotta u fil-lista tal-filtri: Get-NetRoute -DestinationPrefix "0.0.0.0/0" | Sort-Object RouteMetric u Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match "VPN". Fuq macOS, netstat -rn -f inet | head -5 u scutil --dns | head -20.
Imbagħad agħmel il-pass li n-nies jaqbeżu: waqqaf it-tunnel apposta u kkonferma li t-traffiku li tistenna li jfalli jfalli tassew. Ikona konnessa hija stat tal-interface, mhux infurzar.
Meta żewġ klijenti huma d-disinn żbaljat
Jekk l-unika rekwiżit wara t-tieni applikazzjoni huwa aktar protezzjoni, neħħiha. Żewġ politiki ta’ blokk li jinteraġixxu huma inqas prevedibbli minn waħda, u kull rikonnessjoni hija ċans li tispiċċa fi stat li ebda fornitur ma jittestja.
Jekk tassew għandek bżonn il-katina, bħal gateway korporattiv li jintlaħaq permezz ta’ qabża kummerċjali, agħżel disinn b’punt wieħed ta’ infurzar. Dan normalment ifisser router jew klijent wieħed li jappoġġja l-katina, mhux żewġ applikazzjonijiet desktop li qed jiġġieldu għall-istess rotta default. Fuq apparat ġestit, żomm il-klijent awtorizzat u ttratta kull ħaġa oħra bħala barra mill-ambitu, tkun x’tkun li turi fil-kaxxa tas-sistema.
Lista ta’ verifika qabel ma żżomm it-tnejn
Aqsam il-lista fl-ordni; l-ewwel punt li jfalli huwa dak li għandu jiġi ffissat.
- Ikkonferma li eżattament klijent wieħed jippossjedi r-rotta default u r-resolver.
- Jekk trid it-tieni klijent ’il fuq, ippermetti b’mod espliċitu l-punt tat-tmiem tas-server tiegħu u erġa’ ċċekkja wara kull aġġornament tal-klijent.
- Ikteb ir-riżultat mistenni meta taqa’ xi tunnel, u ttestja dak il-każ speċifiku.
- Iċċekkja l-passaġġ tal-falliment wara restart, meta l-ordni tal-bidu tkun differenti.
- Fuq profil ġestit, waqaf u staqsi lis-sid qabel ma żżid xi ħaġa.
Jekk it-tielet pass ifalli, it-tweġiba onesta hija li klijent wieħed biss qed jagħtik politika. Iddeċiedi liema tafdah u ħalli l-ieħor imur.