Always-on VPN د kill switch په مقابل کې: تاسو واقعاً کوم یو فعال کړ؟

Always-on VPN ټنل بیا نښلوي؛ kill switch پرېکړه کوي چې پرته له دې څه وتلی شي. د لیبل باور کولو دمخه پنځه ګوتې.

Always-on او kill switch په همدې د ترتیباتو په سکرین کې د دوو کرښو په واټن کې دي، نو خلک یې د یوې ځانګړتیا دوه نومونه ګڼي. دوی داسې نه دي. Always-on د بیا نښلولو تګلاره ده: په بوت کې ټنل پیل کړه، له کریش یا د شبکې له بدلون وروسته یې بېرته راوړه، او تر هغه چې ناکام شي بیا هڅه کوه. Kill switch د ترافیک تګلاره ده: هغه پاکټونه نوموي چې د ټنل د بندیدو پر مهال لاهم کولی شي له ماشین څخه ووځي. تاسو کولی شئ لومړی پرته له دویم څخه فعال کړئ، او په ډیرو پلیټفارمونو کې ډیفالټ پایله په هغه وقفه کې هم ترافیک بهر ته پریږدي.

ګوته 1: ایا بلاک خپل جلا سوئیچ دی؟

په Android 10 او وروسته، خوندي شوی VPN پروفایل د ګیر آیکون شاته دوه خپلواک ټوګلونه خلاصوي: Always-on VPN او Block connections without VPN. یوازې دویم kill switch دی. یوازې always-on سره ټنل له لویدو وروسته واقعاً بېرته راځي، او د غوښتنې په مینځ کې هر اپلیکیشن کولی شي تر هغه پورې د Wi-Fi یا موبایل ډیټا له لارې شبکې ته ورسیږي.

اداره شوي وسیلې په پالیسۍ API کې همدا ویش ساتي. setAlwaysOnVpnPackage() د پیکج نوم او lockdownEnabled بیرغ اخلي؛ هغه مدیر چې پیکج ټاکي او بیرغ false پریږدي، دوامداره ټنل جوړ کړی، نه بند وسیله. د کنسول عبارت دا توپیر په ندرت ښکاره کوي.

حالت له وسیلې ولوستل، نه له کنسول: adb shell settings get global always_on_vpn_app او adb shell settings get global always_on_vpn_lockdown. که لومړی null راوګرځوي، په پلیټفارم کچه هېڅ پیکج نه دی تطبیق شوی؛ که دویم 0 راوګرځوي، پلیټفارم هېڅ نه بلاکوي. د Android VPN لارښود دا د جلا وړتیاوو په توګه بیانوي، نه د یو حالت.

ګوته 2: بلاک د کومې طبقې ملکیت دی؟

لیبلونه په کلایینټ کې او بلاکونه معمولاً په فایر وال کې وي، نو ځکه یوه کلمه په هر پلیټفارم کې بېل معنی لري. لاندې کرښې هغه دي چې د هر یو له باور کولو دمخه یې تاییدول ارزښت لري.

Where you see the labelWhat the label promisesWhat actually blocks
Android VPN profileAlways-on VPNBlock connections without VPN
Android device policyAlways-on packagelockdownEnabled flag
Windows built-in VPNAlways On tunnelOutbound firewall rules
WireGuard for WindowsTunnel serviceBlock untunneled traffic option
wg-quick on LinuxRoute via AllowedIPsYour own nftables or iptables rules

Windows د نه بلاک کوونکي لیبل ترټولو روښانه بېلګه ده. هلته Always On د ټنل دوام بیانوي: د ماشین تصدیق لپاره د وسیلې ټنل او د ننوتلي حساب لپاره کاروونکي ټنل، چې د پروفایل XML یا Add-VpnConnection له لارې تنظیمیږي. په هغه پروفایل کې هېڅ شی د وتلو پاکټ نه بندوي کله چې ټنل نه وي، او د وتلو فلټرول په ډیفالټ ډول فعال نه دي، نو په Wi-Fi کې لاپټاپ د VPN د بندیدو پر مهال هم کار کوي.

WireGuard هم همداسې ویشل کیږي، خو د کلایینټ له مخې. WireGuard for Windows د هر ټنل لپاره Block untunneled traffic اختیار لري چې د فلټر قواعد نصبوي؛ د Linux وسایلو کې داسې سوئیچ نشته. wg-quick د هر AllowedIPs ننوتنې لپاره لاره او یو fwmark قاعده ورزیاتوي، او wg-quick down دواړه لرې کوي، نو فزیکي ډیفالټ لاره بېرته خپله دنده اخلي پرته له دې چې یو پاکټ هم ورک شي.

په Apple پلیټفارمونو کې always-on د څارل شوو وسیلو لپاره د مدیریت پروفایل ځانګړتیا په توګه راځي او د چیک باکس پر ځای د on-demand قواعدو په توګه څرګندیږي. هغه پوښتنه چې له payload څخه باید ځواب شي دا ده چې ناکام ټنل ترافیک منع کوي که یوازې بله نښلونه غواړي. د مینو سرلیک به دا ونه وایي.

ګوته 3: آیکون نه، وقفه وټوله

څلور تېرېدل مهم دي، او دوی بېلې بېلې ناکامېږي: بوت مخکې له دې چې څوک ننوځي، خوب او ویښیدل، له Wi-Fi څخه موبایل ډیټا ته بدلون، او د کلایینټ کریش چې د ټنل انټرفیس نیمګړی تنظیم شوی پریږدي. په یوې کې پاکه بیا نښلونه د نورو درېیو په اړه هېڅ نه ثابتوي.

ترټولو ارزانه ازموینه په قصد ټنل بندوي او بیا هڅه کوي چې ووځي. کله چې ټنل بند وي، curl -m 5 -sS -o /dev/null -w '%{http_code}' https://example.com چې 200 راوګرځوي معنی دا ده چې تګلاره fail-open ده؛ د وخت ختمیدل یا رد شوې نښلونه معنی دا ده چې یو څه لاهم بلاکوي. ip route get 1.1.1.1 هغه انټرفیس نوموي چې پاکټ به یوسي، چې معمولاً له ټرې آیکون څخه ډیر معلوماتي دی، او systemctl status wg-quick@wg0 ښیي چې انټرفیس پاک لرې شوی که نه.

همدا ګوته په دویمه کړکۍ کې چلاوه کله چې شبکه بدلیږي، نه یوازې له ارامیدو وروسته. د لویدو او بیا هڅې ترمنځ وقفه مهمه برخه ده، او د نوم حل لومړنی لار ده چې پوه شئ ترافیک وتښتید: که ټنل بند وي او سیمه ایز حل کوونکی ځواب ووایي، بلاک بشپړ نه دی.

ګوته 4: مخکې له تړلو استثناوې پرېکړه کړه

دوه استثناوې جوړښتي دي. کلایینټ باید خپل VPN سرور ته ورسیږي، نو هغه قاعده چې هر څه غورځوي هغه بیا نښلونه هم بندوي چې ساتنه به بېرته راوړي. Captive portal هم د نه پورته شوي ټنل له لارې نه رسیږي، نو په هوټل Wi-Fi کې تړل شوې وسیله باید د پورټال خلاصولو لیکل شوې لاره ولري، نه سملاسي جوړه شوې.

لږ تر لږه بڼه، د پای نقطې اجازه او نور ټول غورځول شوي:

table inet vpnlock {
  chain output {
    type filter hook output priority 0; policy drop;
    oifname "lo" accept
    ip daddr 203.0.113.10 udp dport 51820 accept
    oifname "wg0" accept
  }
}

د پای نقطې هغه کرښه د بدلونکو په توګه وګڼه نه د ثابت. برابرونکي پتې بدلوي، او زوړ استثنا هغه معمول دلیل دی چې کار کوونکی kill switch د بیا نښلیدو وړ نه وي وسیله کیږي. سیمه ایز چاپیران، NAS شریکول او پراختیایي خدمتونه په همدې لیکل شوې لیست کې ځای لري، که نه نو یو په یو د ملاتړ ټیکټ په بڼه موندل کیږي.

ګوته 5: ثبت کړه چې واقعاً څه ثابت کړل

د څلورو کالمونو جدول وساته او په ازموینو یې ډک کړه: حالت، تمه شوې چلند، لیدل شوې چلند، شواهد. کرښې د ګوته 3 تېرېدل او یو قصد شوی ناکامي دي. هغه کرښه چې د کمانډ د وتلو سره نشې ډکولای، هغه کرښه ده چې نه دي ازمویل شوې، او هغه وسیله چې د بیا نښلونې کرښه تېروي او د بوت کرښه ناکاموي، دومره عامه ده چې اضافي لس دقیقې ارزښت لري.

مخکې له دې چې بشپړ یې وبولې:

  • تایید کړه چې د بلاک ترتیبات د بیا نښلونې له ترتیباتو جلا دي، او ارزښت یې پر وسیله ولوله.
  • پوه شه چې کومه طبقه بلاک تطبیقوي - د کلایینټ اختیار، د وسیلې پالیسي یا فایر وال - او هغه طبقه چېرته تنظیمیږي.
  • یو ګوته کمانډ وساته چې بلاک ثابتوي، او د تېرېدو پر مهال یې چلاوه، نه وروسته.
  • د استثناوې لیست ولیکه، د پای نقطې سره، او یادونه کړه چې څوک یې تازه کوي.
  • پر اداره شوې هارډویر تطبیق شوې پالیسي پریږده؛ د بلاک لرې کول د ټنل د سمولو پر ځای اړتیا بدلوي.

اړوندې مقالې