Przełącznik bezpieczeństwa VPN: jaki ruch blokuje i kiedy

Dwie funkcje opisuje się tym samym słowem, a robią różne rzeczy. Automatyczne ponowne łączenie próbuje przywrócić tunel i może się to udać w ciągu sekundy, podczas gdy żądania w tej luce zawodzą. Przełącznik bezpieczeństwa decyduje, co dzieje się z ruchem w tej luce. Czytanie klienta tak, jakby oba były jednym ustawieniem, prowadzi do tego, że ludzie zaczynają ufać ikonie zamiast polityce.

Blokowanie i ponowne łączenie to dwie osobne decyzje

Jeden klient blokuje tylko wtedy, gdy utrata jest nieoczekiwana, potem łączy się ponownie i zdejmuje blokadę. Inny utrzymuje blokadę na poziomie systemu, dopóki ktoś nie zmieni ustawienia ręcznie, a trzeci traktuje celowe rozłączenie jako zgodę na przywrócenie zwykłego dostępu. To trzy różne zachowania, a dokumentacja dostawcy mówi, które realizuje twoja kompilacja.

Import profilu niczego w tej kwestii nie rozstrzyga. Ten sam profil serwera wczytuje się do dwóch klientów o przeciwnym zachowaniu blokowania, bo profil niesie ustawienia, a nie obietnicę. Dlatego pole wyboru na komputerze i przełącznik w telefonie o podobnych etykietach mogą realizować różne reguły. Przeczytaj opis przy kontrolce na swojej platformie, a potem sprawdź, co ona robi.

Ten sam profil zachowuje się inaczej w dwóch klientach

Ustawienia aplikacji OpenVPN Connect opisują tryb tunelu, który wstrzymuje zwykły ruch tylko wtedy, gdy klient zgłasza stan wstrzymania lub ponownego łączenia, co jest węższe niż ogólna obietnica dotycząca każdego zdarzenia na każdej platformie. Czytaj wymienione stany, a nie nazwę produktu. Opis napisany dla jednej kompilacji klienta nie przenosi się na klienta innego dostawcy.

Android pokazuje to samo słowo przy dwóch kontrolkach, bo stały VPN i blokowanie połączeń bez VPN są dokumentowane osobno. Klient na komputerze z podobnie nazwanym polem wyboru może realizować coś węższego lub szerszego niż którekolwiek z nich. Traktuj wspólną etykietę w dwóch menu jako zbieg okoliczności, dopóki nie przeczytasz obu opisów. Urządzenia zarządzane dodają trzecią warstwę, bo profil urządzenia może wymusić ustawienie, którego użytkownik nie widzi i nie może cofnąć.

Podobne ustawienia platformy nie są równoważne

Porównaj kontrolkę, którą widzisz, z polityką, która faktycznie obowiązuje. Na urządzeniu zarządzanym widoczny przełącznik może być wyszarzony albo włączony, podczas gdy profil wyższego poziomu wymusza przeciwieństwo. Proś o politykę skuteczną, a nie lokalną, i uzyskaj odpowiedź na piśmie.

Zapisz, co twierdzi każda warstwa, zanim czegokolwiek spróbujesz, bo obie często się nie zgadzają, a tę niezgodność łatwo zgubić, gdy tylko zaczną się testy. Urządzenie, które podczas testu blokuje poprawnie, może blokować z powodu, którego nikt nie udokumentował.

Uruchamiaj po jednym zdarzeniu i zapisz kod

Testuj jedno zdarzenie na przebieg, z nieszkodliwym żądaniem, i czyń każdą próbę nowym żądaniem, a nie stroną, która może już być w pamięci podręcznej. Polecenia poniżej opuszczają tunel, proszą o stronę i pokazują, czy interfejs wrócił.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

Tabela wiąże każde działanie z obserwacją, która ma znaczenie, oraz z dowodem, który warto zachować. Żądanie, które zawodzi w limicie czasu, mówi, że blokada zadziałała; żądanie, które przechodzi, mówi, że ruch znalazł inną drogę, co może być trasą wykluczoną, a nie wyłączoną blokadą. Powtórz cały zestaw po istotnej aktualizacji oprogramowania lub zmianie polityki routingu, bo każde z nich może zmienić gałąź bez ruchu żadnego widocznego ustawienia. Na koniec chcesz przewidywalnego zachowania przy awarii, a nie uspokajającej ikony.

Wyjątki, portale gościnne i czego blokada nie potrafi

Dostęp do sieci lokalnej to typowy wyjątek i zmienia zakres obietnicy. Klient może dotrzeć do drukarki w tej samej podsieci, blokując wszystko inne, co jest rozsądne w domu, a wątpliwe w sieci gościnnej. Zdecyduj, czy chcesz tego wyjątku, zanim zdarzenie odkryje go za ciebie.

Ścisła blokada utrudnia też logowanie w portalu sieci gościnnej, bo portal to dokładnie ten bezpośredni ruch, który blokada ma zatrzymywać. Naucz się wspieranej metody autoryzacji sieci, a potem świadomie przywróć politykę, zamiast wyłączać kontrolki, aż strona się wczyta. Trzymaj odpowiedź resolvera i tabelę tras w tej samej notatce, jak poniżej. Czego przełącznik bezpieczeństwa nie potrafi, to uczynić usługi anonimową, bo blokowanie ruchu poza tunelem nic nie mówi o tym, co dzieje się w jego wnętrzu.

resolvectl query example.com
ss -tunp | grep -v tun0