Breekt een VPN de ouderlijke controle op een gezinsapparaat?
Sommige regels leven op de route en andere op het account. Neem een nulmeting, voeg de tunnel toe en vergelijk waar elk filter echt werkt.
Ouderlijke controle is niet één product. Een regel kan op de router leven, in de DNS-dienst, op het account van het besturingssysteem, in een bepaalde browser of in elke applicatie. Een VPN verandert wat het netwerkpad kan zien, en het verandert niets aan een tijdslimiet op accountniveau. Voer dezelfde controles uit voor en na het toevoegen van de tunnel, en de splitsing wordt zichtbaar in plaats van betwistbaar.
Schrijf op welke regel waar leeft
Begin met een inventaris: apparaat, account, browser en app, en dan het mechanisme dat elke eis afdwingt. Tijdslimieten zitten meestal op het account van het platform. Installatie- en aankoopbeperkingen zitten daar ook. Inhoudsfiltering is de dubbelzinnige, want het kan een routerregel, een DNS-antwoord, een browserbeleid of een functie op appniveau zijn. Elk daarvan gedraagt zich anders zodra verkeer wordt ingekapseld.
| Mechanism | Where it operates | What a tunnel changes |
|---|---|---|
| Router or DNS filter | The network path or the resolver | Hides destinations and queries inside the tunnel |
| OS account limits | The device and the signed-in account | Nothing about the internet exit |
| Browser policy | A specific browser under a managed account | Depends on whether that browser uses the tunnel |
| App-level restriction | The application itself | Usually independent of routing |
Een inventaris van vóór de wijziging is de enige manier om een regressie te onderscheiden van iets dat nooit heeft gewerkt.
Neem een nulmeting voordat u iets installeert
Noteer welke resolver antwoordt, welk pad een gewone bestemming neemt en of een bekend geblokkeerde pagina geblokkeerd is. Herhaal daarna dezelfde drie waarnemingen, in dezelfde volgorde, op hetzelfde apparaat.
resolvectl status | head -20
ip route get 203.0.113.10
dig +short example.comDe uitvoer van de resolver laat zien of het apparaat de DNS van de router gebruikt of een privéresolver die op het apparaat is ingesteld. Dat ene detail verklaart de meeste verrassingen, want een apparaat met een eigen versleutelde resolver raadpleegt het huisfilter nooit. Houd de werkelijke eis van het huishouden in duidelijke taal naast elk resultaat. ‘Geen sociale media na negenen’ en ‘deze router blokkeert een domeinlijst’ zijn verschillende eisen met verschillende eigenaren, en een tunnel beïnvloedt er maar één van.
Herhaal dezelfde controles met de tunnel aan
Nadat de tunnel is verbonden, herhaalt u de resolver- en padcontroles. Als de resolver is overgestapt op een privéresolver, ligt de filtering van de router niet meer op het pad, ook al blijft het apparaat op het netwerk van het huishouden.
resolvectl status | head -20
ip route get 203.0.113.10
curl -sS -o /dev/null -w '%{http_code}\n' https://example.comEen pad dat nu door de tunnel loopt, verklaart verloren routerfiltering zonder te impliceren dat accountlimieten stopten met werken. Controleer een accountlimiet apart, door die te lezen in de instellingen van het platform zelf in plaats van die af te leiden uit een geblokkeerde pagina. Browserresultaten vragen dezelfde zorg. Een filter dat alleen geldt voor een aangemeld kinderaccount in één browser zegt niets over een andere browser of een desktopapplicatie die daarbuiten wordt geopend.
Los conflicten op in plaats van dingen uit te schakelen
Twee producten die allebei de netwerkextensie van het apparaat willen bezitten, kunnen in conflict komen, en het gebruikelijke symptoom is dat een van beide weigert te verbinden. De bescherming weghalen om de tunnel te laten werken is de verkeerde richting. Lees de compatibiliteitsnotities van beide leveranciers en kies een opstelling die de eis behoudt. Soms betekent dat het filter naar een andere laag verplaatsen, zoals een beheerd apparaatprofiel, in plaats van twee apps te draaien die om dezelfde haak vechten.
Als een legitieme school- of werkbron geblokkeerd is, geef de beheerder van het huishouden dan een gedocumenteerd goedkeuringspad. Een uitzondering met een reden en een herzieningsdatum is onderhoudbaar; een berg ad-hoc netwerkwijzigingen niet.
Houd het register klein en actueel
Eén pagina is genoeg: apparaten, accounts, welk mechanisme elke regel afdwingt en de datum van de laatste controle. Herhaal de controles na een grote app-update, omdat netwerkextensies en browserbeleid tussen versies verschuiven.
Schrijf het register voor de persoon die dit over een half jaar debugt, en dat kunt u zelf zijn nadat u elk detail bent vergeten. Noem de mechanismen in plaats van de producten, en de notities blijven zinvol na een naamsverandering.