Avslutt eller kople frå: to ulike VPN-utfall

Menyen tilbyr Kople frå, vindauget har ein lukkeknapp, og oppgåvehandsamaren tilbyr Avslutt oppgåve. Kvar av dei ser ut som ein måte å stoppe VPN-en på, og kvar av dei kan etterlate maskinen i ein annan tilstand. Ein kan stoppe tunnelen medan ei blokkering blir ståande, ein annan kan rydde opp alt som del av ein ryddig avslutning, og ein tredje kan berre skjule grensesnittet medan bakgrunnskomponenten held fram med å køyre. Å handsame dei som synonym er nettopp slik ein personverntest endar med feil konklusjon om kva som skjedde.

Dokumentasjonen til klienten er den einaste pålitelege staden å lære kva som er kva.

Fire kontrollar, moglegvis fire åtferder

Kople frå riv vanlegvis ned tunnelen medan klienten blir verande i minnet, noko som tyder at ein teneste, ein komponent i systemkurven eller ein regel for kill switch kan overleve klikket. Deretter held mange klientar fram med å blokkere trafikk fordi retningslinjene seier at eininga ikkje skal falle tilbake til direkte tilgang så lenge klienten er til stades. Den åtferda ser ut som eit øydelagt nettverk og er medvite vern.

Avslutt er meint å avslutte programmet, og ein veloppdragen klient fjernar reglane sine på veg ut. Nokre design lèt i staden ein eigen hjelpar bli att som handhevar retningslinjene, og det er eit val, ikkje ein feil. Å lukke vindauget er ei grensesnittehandsaming utan definert verknad på tunnelen, og Pause, der det blir tilbode, er ei fjerde åtferd med eigne reglar.

Eit utfall på tenarsida er ein heilt femte veg, og det er den brukarane faktisk møter oftast.

Les tilstanden før og etter kvar handling

Registrer prosesslista, tenestestatusen og brannmurreglane før handlinga, og gjer så registreringa om att med ein gong etterpå. Å samanlikne dei to listene viser kva kontrollen faktisk gjorde, utan å stole på skildringa til grensesnittet sjølv.

systemctl status wg-quick@wg0 --no-pager
pgrep -a -f 'openvpn|wireguard|vpnagent'
ip link show | grep -E 'tun|wg'
nft list ruleset | grep -E 'drop|reject' | head -20
scutil --nc list

Forsvinn reglane saman med prosessen, var det klienten som eigde dei. Blir reglane ståande medan prosessen er borte, er det noko anna som handhevar retningslinjene, og å finne den komponenten kjem før kvar endring. Registrer tenestestatusen i same augneblink, for eit stoppa grensesnitt seier ingenting om ein systemteneste.

Ein manuell fråkopling er ikkje eit krasj

Kople frå køyrer den tiltenkte avslutningsvegen, og eit krasj hoppar over han. Resultat frå det eine blir derfor ikkje overførte til det andre, så ein test som brukte eit menyelement kan ikkje støtte ein påstand om åtferd når klienten døyr.

På same måte seier eit krasj ingenting om ein godkjend mellombels pause. Hald dei tre spørsmåla skilde i testplanen og i alt som blir skrive ned etterpå. Avslutningsvegen forklarar òg kvifor ein rein avslutning kan fjerne reglar som eit krasj lèt att. Same knappen, annan kode, anna prov.

Vel den utilgjengelege tilstanden du faktisk treng

Viss trafikken må halde seg blokkert kvar gong tunnelen er nede, verifiser det kravet under den konkrete handlinga du bryr deg om, med ufarleg trafikk til eit kjent mål. Ta med unntak for program og unntak for det lokale nettverket, fordi handheving for heile eininga ofte er smalare enn namnet antydar. Stadfest deretter kva som skjer etter ein omstart, for det er då den forelda tilstanden vanlegvis dukkar opp.

Viss målet er vanleg direkte tilgang, bruk den dokumenterte kontrollen i staden for å drepe prosessar eller slå av heile brannmuren. Forelda reglar som ein avbroten avslutning lèt att, er eit anna problem enn ei medvite låsing, og dei treng ei anna gjenoppretting.

Skriv ned kva komponent som stoppa: tunnelen, det synlege programmet eller laget som handhevar retningslinjene. Den eine setninga hindrar det meste av forvirringa desse kontrollane skapar.