Il-kill switch tal-VPN jibqa’ wara reboot? Kif tivverifika

Ir-reboot huwa l-aktar mod komuni kif in-nies jittestjaw kill switch, u huwa t-test li jigdeb l-aktar spiss. Il-kaxxa tal-ikklerkar fil-klijent hija sempliċement preferenza; dak li jgħodd huwa jekk xi ħaġa timponix imblokk bejn il-mument li fih it-tabella tan-netwerk titla’ u l-mument li fih il-mina fil-fatt tiġi stabbilita. Fuq Windows dik ix-ħaġa normalment hija filtru fil-Windows Filtering Platform, fuq Linux sett ta’ regoli mgħobbi minn unità, fuq macOS ankra tal-pf, fuq Android il-bnadar tas-sistema stess għal dejjem-mixgħula u ssigillar. Dawn l-arranġamenti jġibu ruħhom b’mod differenti ħafna matul reboot, u huma biss dawk fil-livell tal-pjattaforma li jinsabu fil-post qabel ma xi ħadd jista’ jidħol.

Ir-reboot iqajjem tliet mistoqsijiet separati

Aqsam il-mistoqsija. L-ewwel, il-politika teżisti fuq id-diska f’forma li xi ħaġa taqra waqt il-boot? It-tieni, dak il-qarrej jaħdem qabel ma tista’ toħroġ xi traffiku? It-tielet, il-politika tkopri t-traffiku li jimpurtak minnu, jiġifieri kull proċess, iż-żewġ familji tal-indirizzi u d-DNS. Iva għall-ewwel u le għat-tieni jipproduċu eżattament il-falliment li n-nies jirrappurtaw bħala kill switch li ma jibqax wara reboot: it-traffiku jaħrab għal ftit sekondi fil-bidu, u ħadd ma jinnota sakemm xi ħadd imur iħares.

Żomm is-saffi mifruda. Sett ta’ regoli tal-firewall salvat, servizz li jibda waqt il-boot u preferenza tal-klijent huma tliet oġġetti differenti bi tliet tulijiet tal-ħajja differenti. Il-preferenza tibqa’ wara r-reboots għax hija valur f’fajl tal-konfigurazzjoni. Ir-regoli huma l-unika ħaġa li timblokka l-pakketti, u jisparixxu mal-kernel li kien qed iżommhom.

Sib l-oġġett li jerġa’ jistabbilixxi l-imblokk

Fuq Linux ir-regoli tan-netfilter jgħixu fil-kernel. Xejn ma jerġa’ jiktibhom waqt il-boot sakemm ma tkunx irranġajt dan: iptables-save flimkien ma’ netfilter-persistent, nftables.service jgħabbi /etc/nftables.conf, jew unità systemd li taħdem l-iskritt tiegħek stess. Iċċekkja x’inhu attivat, mhux dak li tiftakar li kkonfigurajt.

systemctl is-enabled nftables netfilter-persistent 2>/dev/null
sudo nft list ruleset
sudo iptables -S OUTPUT

Sett ta’ regoli vojt ftit sekondi wara l-boot hija t-tweġiba għall-mistoqsija fit-titlu. Fuq Windows staqsi lis-servizz tal-klijent kif jibda, imbagħad iġbed l-istat tal-filtru tal-pjattaforma waqt li l-mina tkun ’l isfel.

Get-Service | Where-Object { $_.Name -match 'vpn' } | Select-Object Name, Status, StartType
netsh wfp show state

It-tieni kmand jikteb wfpstate.xml fid-direttorju attwali. Fittex filtri b’azzjoni ta’ imblokk li diġà jeżistu qabel ma jingħaqad il-klijent. Base Filtering Engine jibda kmieni fil-boot u jerġa’ jistabbilixxi filtri li żdiedu bil-bandiera persistenti, għalhekk xi kill switches jimblukkaw it-traffiku qabel ma teżisti xi tieqa tal-klijent u oħrajn le. Fuq macOS sudo pfctl -s info jirrapporta jekk il-pf huwiex attivat, sudo pfctl -s rules juri x’inhu mgħobbi, u l-klijenti tal-VPN normalment iwaħħlu r-regoli tagħhom ma’ ankra minflok mas-sett prinċipali. Regola li ssemmi utun3 tista’ wara l-boot li jmiss tindika interfaċċa oħra, għax dak in-numru jingħata waqt il-ħidma.

Innota l-vojt bejn it-tlugħ tan-netwerk u t-tlugħ tal-mina

L-intervall perikoluż mhuwiex ir-reboot kollu, huwa l-vojt. L-interfaċċa tirċievi kera u rotta default f’mument wieħed, is-servizz tal-VPN jibda f’ieħor, u l-mina tawtentika aktar tard għadha, xi drabi biss wara li utent jidħol u aġent tal-kredenzjali jkun ġera. Jekk l-imblokk jiġi applikat l-aħħar, kollox fil-vojt joħroġ fil-beraħ.

Fuq hosts systemd, aqra l-ordni minflok ma taħsibha. Ħaddem systemctl cat fuq l-unitajiet tal-VPN u tal-firewall u fittex After= jew Before= fir-rigward ta’ network-pre.target u network-online.target. Unità tal-firewall ordnata wara network-online.target titlef kontra l-interfaċċa; dik li hija mitluba minn u ordnata qabel network-pre.target tirbaħ. Fuq Windows il-mistoqsijiet ekwivalenti huma t-tip tal-bidu tas-servizz u d-dipendenzi tiegħu, għax servizz imqiegħed fuq Manual ma jistax jimblokka proċess waqt il-boot. Jekk ir-rekwiżit tiegħek jinkludi traffiku qabel id-dħul, dan jissodisfah biss arranġament fil-livell tal-apparat: mina tal-apparat Always On VPN tawtentika b’ċertifikat tal-magna u tikkonnetta qabel ma jidħol l-utent, u Microsoft tiddokumenta l-konfigurazzjoni tal-mina tal-apparat separatament mill-mina tal-utent. Android jieħu t-triq l-oħra, jinfurza VPN dejjem mixgħula u jimblokka konnessjonijiet mingħajrha mis-sistema u mhux minn proċess tal-applikazzjoni.

Ħaddem it-test, imbagħad qabbel żewġ linji taż-żmien

Erġa’ ibda b’destinazzjoni li ma tiswiex xejn jekk tinqabeż, u aqbad l-istat matul il-vojt u mhux warajh. L-aktar metodu nadif huwa sonda tal-boot: unità oneshot jew kompitu skedat li jibda kemm jista’ jkun kmieni skont il-pjattaforma, jirreġistra r-rotta default u l-istat tal-firewall, jipprova talba waħda b’limitu taż-żmien qasir u jżid linja ma’ fajl lokali. Qabbel dik ir-reġistrazzjoni mal-ħin tal-bidu tas-servizz tal-VPN minn journalctl -b -u jew mil-log tas-Sistema.

Imbagħad ħaddem it-test tas-soltu: mina ’l fuq, aqta’ l-konnessjoni, ara jekk it-traffiku dirett huwiex imblukkat, erġa’ stabbilixxi. Li tgħaddi t-tieni u tfalli fl-ewwel huwa r-riżultat normali, u jfisser li l-infurzar huwa fuq in-naħa tal-klijent, applikat meta l-klijent jikkonnetta u mhux waqt il-boot. Fl-aħħar magna li awditjajt, l-imblokk ġie minn skritt dispacier tan-NetworkManager: preżenti u korrett u inutli għas-sekondi qabel ma titla’ l-interfaċċa. Ikteb iż-żewġ riżultati, għax li tibqa’ wara reboot ifisser xi ħaġa biss meta tgħid liema saff baqa’ u minn liema mument.

Agħlaq il-vojt mingħajr ma taqta’ triqtek lura

Jekk l-imblokk jonqos fil-boot, niżżel l-infurzar saff wieħed ’l isfel minflok ma żżid it-tieni regola tal-klijent. Issejvja s-sett ta’ regoli u għabbih minn unità ordnata qabel ma n-netwerk ikun użabbli, u kun żgur li dik l-unità ma teħtieġx tfittxija DNS jew mount tan-netwerk li suppost qed tipproteġi. L-ambitu huwa importanti daqs il-ħin: regoli li jaqblu ma’ ID tal-utent jew cgroup iħallu kull daemon tas-sistema barra mill-imblokk, u sett ta’ regoli li jittratta biss IPv4 iħalli IPv6 u d-DNS aċċessibbli.

Ħalli triq lura għalik innifsek. Magna li timblokka kollox fil-boot u mbagħad ma tistax tawtentika m’għandhiex netwerk xejn, u s-sewwa mhuwiex li tħassar l-imblokk iżda li ssewwi l-kredenzjali jew l-ordni. Żomm proċedura dokumentata għall-konsol lokali u eċċezzjoni dejqa u intenzjonata għal dak li l-mina verament teħtieġ, bħall-indirizz tas-server u r-resolver użat qabel ma teżisti l-mina.

Qabel ma tafda dan l-arranġament, ikkonferma erba’ ħaġariet fl-ordni. Il-politika hija maħżuna fejn jaqra l-boot. Dak il-qarrej jaħdem qabel ma l-interfaċċa tkun użabbli. L-imblokk ikopri ż-żewġ familji tal-indirizzi u d-DNS. Il-VPN xorta jista’ jawtentika waqt li l-imblokk ikun attiv. Meta jżommu l-erbgħa, reboot ma jbiddel xejn.