ولې kill switch د سرور په بدلولو کې ترافیک غورځوي
ولې kill switch د سرور د بدلون پر مهال ترافیک بندوي، کلاینټ په هغه وخت کې څه کوي، او څنګه عادي وقفه له نښتې بلاک څخه وپېژنو.
تاسو یو سرور ټاکئ چې نږدې ښکاري، پر نښلولو کلیک کوئ، او براوزر د نوي تونل له پورته کېدو مخکې بارول بندوي. آیکون د نښلېدو حالت ته اوړي او هلته پاتې کېږي تر څو چې هر ټب خپل وخت پای ته ورسوي. دا وقفه معمولاً kill switch دی چې د طرحې له مخې کار کوي: ترافیک بند دی تر څو چې کلاینټ د لېږلو لپاره تونل ونه لري. چې وقفه منونکې ده که نه، په هغو ثانیو کې د کلاینټ کار او دې ته اړه لري چې بلاک هغه وخت لرې کېږي که نه چې وايي لرې شو.
کلاینټ د دوو سرورونو تر منځ څه کوي
د پاینې نقطې بدلون څو ګامه دی، نه یو سویچ. کلاینټ اوسنی تونل ړنګوي، خپل بندولو قواعد تازه کوي، نوې پاینې نقطه حل کوي او له تونل بهر ورته رسېږي، بیا نوي لارې کېږدي او بلاک پورته کوي. هغه تشه چې احساسوئ د لومړي او وروستي ګام تر منځ ده.
دلته ترتیب له سرعت مهم دی. که د بندولو قواعد د نوې پاینې نقطې لپاره له استثنا مخکې نافذ شي، کلاینټ نشي کولی لاس ورکول بشپړ کړي او تر وخت پای ته رسېدو پورې په نښلېدو حالت کې پاتې کېږي. که استثنا د زاړه سرور د پتې کاپي وي، نوې لاس ورکول لکه هر بل وتونکی پاکټ ښکاري او غورځول کېږي. دواړه حالتونه له براوزره یو شان ښکاري، نو ښايي شپږ ثانیې وروسته رغېدونکی بدلون او هغه چې هېڅکله نه رغېږي یو سبب ولري.
نوې پاینې نقطې ته په بلاک کې سوري ته اړتیا ده
د تونل جوړولو لپاره کلاینټ باید د فزیکي انټرفیس له لارې نوي سرور ته د پتې او پورټ پاکټونه ولېږي، لکه د یوه عادي WireGuard پروفایل لپاره UDP 51820 یا د OpenVPN لپاره 1194 او 443، هر هغه څه چې ستاسو پروفایل یې ټاکي. هغه ترافیک د هغه تونل دننه نه دی چې اوس جوړېږي، نو د ټول وسیله لپاره بلاک هغه ښکته کوي پرته له دې چې سمه اجازه قاعده وي.
د کوربه نوم پر بنسټ پروفایلونه دوهم شرط زیاتوي: پخپله پلټنه. که کلاینټ پاینې نقطه د بلاک له پورته کېدو مخکې حل کړي، کولای شي کاش شوې پته وکاروي، خو کله چې پروفایل پتې بدلې کړي یا کاش ثبت زوړ شي، لاس ورکول هغې پتې ته ځي چې اجازه قاعده یې نه پوښي. IPv6 دا ښکاره کوي، ځکه دوه سټیکه پاینې نقطه کولای شي هم A او هم AAAA ریکارډ خپور کړي، او یوازې د v4 پتې پوښونکې اجازه قاعده کلاینټ پر بنده v6 پتې باندې بیا هڅه کولو ته پرېږدي.
د انتخابونو نومونه او تلوالې ارزښتونه د کلاینټ او نسخې له مخې بدلېږي، نو د سکرین شاټونو له مخې اټکل نه کوئ، خپل کلاینټ ته د مستند شوي لیست لوستلو وکړئ. د OpenVPN Connect د تنظیماتو مرجع openvpn.net/connect-docs/app-settings-windows کې یوه بېلګه ده چې یو کلاینټ خپل بندولو او ووېشل شوي تونل انتخابونه څنګه بیانوي.
Fail-closed یو حالت ماشین دی، نه سویچ
ډېری کلاینټونه بلاک د فایر وال د تګلارې په توګه په درې حالتونو کې څرګندوي: تونل پورته، ترافیک د تونل له لارې او بلاک نشته؛ تونل ښکته، بلاک فعال؛ او لېږد، بلاک فعال د پاینې نقطې لپاره د لنډ مهاله استثناؤ سره. هماغه درېیم حالت دی چې تېروتنې پکې اوسېږي، ځکه باید په څو ثانیو کې دوه ځله بدل شي، او له هغه نه وتل په بشپړ ډول د تلپاتې بلاک په څېر ښکاري.
مېکانېزم د پلیټفارم له مخې توپیر لري، ناکامي هم. د Windows Filtering Platform فلټرونه وزن لري، نو هغه بندولو فلټر چې ستاسو اجازه له پامه غورځوي ستاسو د اجازې شتون سره سره پاکټونه غورځوي، او هغه فلټرونه چې وژل شوي کلاینټ بهیر پرېښي کولای شي وسیله له اپلیکیشن وروسته هم آفلاین وساتي. macOS کلاینټونه معمولاً pf قواعد په یو لنگر کې لیکي، چېرې چې د قاعدو ترتیب او چټکې پرېکړې ټاکي کومه قاعده پلي کېږي. Linux کلاینټونه معمولاً د drop تګلارې سره nftables یا iptables زنځیر چلوونکي او د پاینې نقطې، تونل انټرفیس او loopback لپاره ښکاره اجازې ورکوي. د Android always-on VPN د پرته له VPN اړیکې بندول انتخاب سره په ډله کې تر ټولو سخت دی، ځکه چې آپریټنګ سیستم بلاک د اپلیکیشن پر ځای پر ټوله وسیله پلي کوي.
WireGuard خپل یادښت ته اړتیا لري، ځکه AllowedIPs د لارې ټاکونکی دی، نه بندونکی. دا ټاکي کوم مقصدونه تونل ته ځي؛ د هغه پاکټ چې لا تونل نه لري د Wi-Fi له لارې وتلو مخنیوي لپاره هېڅ نه کوي. یوازې WireGuard او پرته له فایر وال قاعدې په ترتیب کې kill switch په حقیقت کې د لارې نشتوالی دی، او له غورځول شوي لاس ورکولو وروسته کولای شي ریښتینی پاکټ د فزیکي انټرفیس له لارې ووځي.
د آیکون کتلو پر ځای تشه واندازه کوئ
پاکټونه وګورئ، نه د حالت څراغ. په Linux کې په یو ټرمینل کې عامه پتې ته ورو ping پیل کړئ او په بل کې د فزیکي انټرفیس پر تونل د انتقال پورټ ونیسئ:
ping -i 0.2 -c 100 1.1.1.1 | tail -5
sudo tcpdump -ni eth0 'udp port 51820'
دواړه چلېدونکي وي، په کلاینټ کې سرور بدل کړئ. درې شیان مهم دي: ping څومره ودرېږي، نیول ښیي چې لاس ورکول نوې پاینې نقطې ته رسېږي که نه، او ترافیک د کلاینټ له نښلېدلي کېدو مخکې که وروسته بېرته راځي. که د ping تشه لومړی پای ته ورسېږي، یا بلاک ژر پورته شوی یا تونل د ښودونکي له اعتراف مخکې پورته دی. که تشه وروسته پای ته ورسېږي، ښودونکی ډېر خوشبینه دی.
په Windows کې netsh wfp show state یو انځور لیکي چې پکې کولای شئ هغه بندولو فلټرونه ولټوئ چې لا هم شته، په داسې حال کې چې کلاینټ ځان نښلول شوی وايي. په macOS کې sudo pfctl -sr بار شوي قواعد او ترتیب یې لیستوي. هر انځور د کلاینټ خپل لاګ سره یو ځای کړئ؛ ستاسو د ping وخت کرښه وايي چې بلاک ناوخته پای ته ورسېد که هېڅکله.
عادي تیاره کېدل د نښتې بلاک پر وړاندې
یو څه خنډ د دې ځانګړنې هدف دی، نو هر تنظیم له بدلولو مخکې ډلبندي وکړئ:
| What you see | Usually means | Next check |
|---|---|---|
| Two or three seconds of timeouts, then normal browsing | Expected fail-closed gap | Nothing to fix |
| State says connected, traffic stays dead | Block filter or route left behind | Firewall snapshot, client log |
| One app dead while others work | TCP session bound to the old exit address | Restart the app |
| LAN devices unreachable after the switch | LAN exception not reapplied | Allow-LAN or split-tunnel setting |
| New server hangs, the old one reconnects | Permit covers only the old address | Resolved address of the new host, including AAAA |
که په دوهم یا پنځم قطار کې ولګېدئ، د ازموینې لپاره kill switch مه بندوئ، ځکه دا د لارې تېروتنه په لېک بدلوي. د کلاینټ خدمت بیا پیل کړئ، یا هلته چې فلټرونه د بهیر له وژلو وروسته هم پاتې کېږي وسیله بیا چالان کړئ، بیا وګورئ چې بلاک پاکېږي که نه. که پاک شي، نقص د بدلون پر مهال په پاکولو کې دی نه په خود بلاک کې.
بل بدلون مخکې څلور شیان تایید کړئ: د پاینې نقطې اجازه هر هغه پته کورنۍ پوښي چې ستاسو پروفایل یې حل کوي، د کلاینټ لاګ د لېږد بشپړېدو ښودنه کوي، ستاسو ping ازموینه تشه اندازه کوي نه آیکون، او د کلاینټ بندول عادي اړیکه بېرته راولي. هغه kill switch چې د بدلون پر مهال ټینګ وي او وروسته خوشې کړي خپله دنده کوي. هغه چې ژر یا هېڅکله خوشې کوي د اصلاح وړ دی.