VPN-killbryter: hvilken trafikk den blokkerer, og når

To funksjoner beskrives med samme ord og gjør ulike jobber. Automatisk gjenoppkobling prøver å få tunnelen tilbake, og det kan lykkes innen et sekund mens forespørsler feiler i mellomtiden. En killbryter avgjør hva som skjer med trafikken i det tidsrommet. Å lese en klient som om de to var én innstilling er hvordan folk ender med å stole på et ikon i stedet for en policy.

Blokkering og gjenoppkobling er to separate beslutninger

Én klient blokkerer bare når tapet er uventet, kobler deretter til igjen og opphever blokkeringen. En annen holder en blokkering på systemnivå til noen endrer en innstilling manuelt, og en tredje ser en bevisst frakobling som tillatelse til å gjenopprette vanlig tilgang. Det er tre ulike oppførsler, og leverandørens dokumentasjon sier hvilken bygget ditt implementerer.

Import av en profil avgjør ingenting i det spørsmålet. Samme serverprofil lastes inn i to klienter med motsatt blokkeringsatferd, fordi profilen bærer innstillinger og ikke et løfte. Derfor kan også en avkrysningsboks på skrivebordet og en bryter på mobilen med lignende etiketter implementere ulike regler. Les beskrivelsen ved kontrollen på plattformen din, og test deretter hva den gjør.

Samme profil oppfører seg ulikt i to klienter

Innstillingene i OpenVPN Connect-appen beskriver en tunneltilstand som holder vanlig trafikk tilbake bare mens klienten rapporterer en pauset eller gjenoppkoblende tilstand, noe som er smalere enn et generelt løfte om hver hendelse på hver plattform. Les tilstandene som er listet opp, ikke produktnavnet. En beskrivelse skrevet for én klientversjon overføres ikke til en annen leverandørs klient.

Android viser samme ord for to kontroller, fordi alltid-på VPN og blokkering av tilkoblinger uten VPN dokumenteres hver for seg. En skrivebordsklient med en lignende avkrysningsboks kan implementere noe smalere eller bredere enn noen av dem. Behandle en felles etikett i to menyer som en tilfeldighet til begge beskrivelsene er lest. Administrerte enheter legger til et tredje lag, fordi en enhetsprofil kan håndheve en innstilling brukeren ikke ser eller kan overstyre.

Plattforminnstillinger som ser like ut, er ikke likeverdige

Sammenlign kontrollen du ser, med policyen som faktisk gjelder. På en administrert enhet kan den synlige bryteren være grå, eller den kan være slått på mens en profil på høyere nivå håndhever det motsatte. Be om den effektive policyen i stedet for den lokale, og få svaret skriftlig.

Skriv ned hva hvert lag hevder før du tester noe, fordi de to ofte er uenige og uenigheten er lett å miste når testene begynner. En enhet som blokkerer riktig under en test, blokkerer kanskje av en grunn ingen har dokumentert.

Kjør én hendelse om gangen og noter koden

Test én hendelse per kjøring, med en ufarlig forespørsel, og gjør hvert forsøk til en ny forespørsel i stedet for en side som kanskje allerede ligger i hurtigbufferen. Kommandoene nedenfor tar tunnelen ned, ber om en side og viser om grensesnittet kom tilbake.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

Tabellen knytter hver handling til observasjonen som betyr noe og til beviset som er verdt å ta vare på. En forespørsel som feiler innen tidsgrensen, forteller at blokkeringen slo inn; en forespørsel som går gjennom, forteller at trafikken fant en annen vei, som kan være en utelatt rute og ikke en deaktivert blokkering. Gjenta hele settet etter en vesentlig programvareoppdatering eller endring i rutepolicyen, fordi begge kan endre grenen uten at noen synlig innstilling flytter seg. Til slutt vil du ha forutsigbar feilatferd, ikke et beroligende ikon.

Unntak, gjesteportaler og hva en blokkering ikke kan

Tilgang til det lokale nettverket er det vanlige unntaket, og det endrer løftets omfang. En klient kan nå en skriver på samme subnett mens den blokkerer alt annet, noe som er rimelig hjemme og tvilsomt på et gjestenettverk. Bestem om du vil ha det unntaket før en hendelse oppdager det for deg.

En streng blokkering gjør også innlogging på en gjesteportal tungvint, fordi portalen nettopp er den direkte trafikken blokkeringen finnes for å stoppe. Lær den støttede måten å autorisere nettverket på, og gjenopprett deretter policyen bevisst i stedet for å slå av kontroller til en side lastes. Hold resolverens svar og rutetabellen i samme notat, som nedenfor. Det en killbryter ikke kan, er å gjøre tjenesten anonym, fordi blokkering av trafikk utenfor tunnelen ikke sier noe om hva som skjer inni den.

resolvectl query example.com
ss -tunp | grep -v tun0