Blokkerer tryggleiksbrytaren appen du har utelukka frå tunnelen?

Tryggleiksbrytaren er på, ein app er med vilje utelukka frå tunnelen, og dei to krava motseier kvarandre no. Det eine seier at ingenting får gå ut utanom tunnelen, det andre seier at dette programmet må gå direkte. Kvar klient løyser den konflikten ulikt, og innstillingssida forklarer sjeldan kva regel som vinn. Skriv politikken per applikasjon før du stolar på ein etikett.

To politikkar, éin maskin

Ein tryggleiksbrytar er eit løfte om feil: når tunnelen ikkje vernar trafikken, stoggar trafikken. Delt tunnellering er eit løfte om utval: desse programa eller destinasjonane brukar tunnelen, og dei andre gjer det ikkje. Det andre løftet skapar trafikk som det første må ta stilling til. Ingen av løfta er feil; dei vart berre skrivne av ulike menneske for ulike trugsmål.

Tre utfall er moglege, og berre eitt av dei er det utrullinga meinte. Den utelukka appen kan halde fram som direkte under eit avbrot, noko som respekterer delinga og bryt tryggleiksbrytaren. Han kan bli blokkert saman med alt anna, noko som respekterer tryggleiksbrytaren og bryt delinga. Eller han kan bli blokkert berre av og til, avhengig av korleis plattformen vurderer regelen etter at eit grensesnitt forsvinn. Det siste tilfellet er det som skapar saker.

Skriv applista før regelen

List opp programa som må bruke tunnelen, dei som må gå direkte, og namna eller destinasjonane som aldri må førekome på noka av listene. Ta med åtferda til resolvaren og IPv6-sida separat, fordi begge kan fylgje ein annan politikk enn sidetrafikk.

Reglar per app treff vanlegvis ei køyrbar fil eller ein pakke, ikkje ein profil inni han. Ein nettlesarprofil, eit privat vindauge og ei utviding ber ingen eigen nettverksidentitet, så dei arvar det prosessen fekk. Ein hjelpeprosess starta av den nettlesaren arvar kanskje ikkje same regel i det heile.

Det trengst to lister, ikkje éi: kva tunnelen skal bere, og kva som ikkje under noko omstende skal reise utanfor han. Eit program som står på begge, er ein kravkonflikt og ikkje ein implementasjonsdetalj, og han må avklarast før klienten blir konfigurert.

Kva klienten gjer under eit avbrot

Nokre implementasjonar blokkerer utelukka apper under eit avbrot og gjenopprettar tilgangen ved gjenoppkopling. Andre held på den direkte vegen heile tida, noko som er konsistent med delinga og svakare som tryggleikseigenskap. Låsing på plattformnivå kan overstyre klienten sitt eige val per app fullstendig. Den skilnaden er ikkje kosmetisk, fordi han avgjer om den utelukka appen er eit politikkunntak eller eit hol.

Androids alltid på-VPN med alternativet for å blokkere tilkoplingar utan VPN er det klåraste tilfellet, fordi plattformen handhevar låsinga og ikkje klienten, og ein utelukka pakke blir blokkert saman med alt anna medan tunnelen er nede. Ein skrivebordsklient som brukar unntak per app i sin eigen drivar, lèt vanlegvis den utelukka prosessen bli på det fysiske grensesnittet, fordi han aldri åtte trafikken til den prosessen. Begge åtferdene er forsvarlege, og berre éin av dei passar til eit krav om at den utelukka appen må halde fram som brukbar. Spør kva komponent som handhevar regelen før du tolkar resultatet.

Les åtferda for operativsystemet framfor deg, ikkje innstillinga med same namn andre stader. Handhevings-API-ane er ulike, og ei avkryssingsboks kan bety strengt ulike ting på ein datamaskin og på ein telefon. Versjonen tel òg, fordi låskontrollen har flytta seg mellom skjermar gjennom Android-utgåver, og ei unntaksliste på klientsida er ikkje same kontroll som ei plattformlåsing.

Tre augneblink: tunnel oppe, tunnel nede, gjenoppkopla

Bruk ufarlege førespurnader på tre tidspunkt: medan tunnelen verkar, under avbrotet du bryr deg om, og etter gjenoppkopling. Eitt nettlesarresultat kan ikkje fastslå åtferda til den utelukka appen.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

Utgangsadressa viser kva veg som vart vald, og den eksplisitte grensesnitttesten viser kva som skjer når tunnelen er den einaste tilgjengelege utgangen. Noter det forventa resultatet ved kvar linje før du køyrer noka av dei, elles blir utdata tolka i ettertid.

Om ein utelukka app går offline, undersøk politikkprioriteten før du legg til ei brei brannmur-tillating, fordi den rettinga øydelegg skilnaden du testa. Om han held fram som direkte, stadfest at det var det dokumenterte unntaket og ikkje eit tilfeldig tilbakefall. Ved eit strengt krav for heile eininga, forkort unntakslista til ho kan testast manuelt.