Prepínač zabezpečenia VPN: aký provoz blokuje a kedy

Dve funkcie sa opisujú tým istým slovom a robia rôznu prácu. Automatické opätovné pripojenie sa snaží vrátiť tunel a môže sa to podariť v priebehu sekundy, zatiaľ čo požiadavky v tej medzere zlyhávajú. Prepínač rozhoduje, čo sa s prevádzkou v tej medzere stane. Čítať klienta tak, akoby obe boli jedno nastavenie, vedie k tomu, že ľudia začnú dôverovať ikone namiesto pravidiel.

Blokovanie a opätovné pripojenie sú dve samostatné rozhodnutia

Jeden klient blokuje len vtedy, keď je výpadok neočakávaný, potom sa znova pripojí a blok zruší. Iný drží blok na systémovej úrovni, kým niekto nezmení nastavenie ručne, a tretí považuje úmyselné odpojenie za povolenie obnoviť bežný prístup. To sú tri rôzne správania a dokumentácia dodávateľa hovorí, ktoré vaše zostavenie uplatňuje.

Import profilu o tejto otázke nerozhoduje. Ten istý profil servera sa načíta do dvoch klientov s opačným správaním blokovania, pretože profil nesie nastavenia, nie sľub. Preto môžu zaškrtávacie pole na počítači a prepínač v telefóne s podobnými označeniami uplatňovať rôzne pravidlá. Prečítajte si opis pri ovládacom prvku na svojej platforme a potom vyskúšajte, čo robí.

Ten istý profil sa v dvoch klientoch správa inak

Nastavenia aplikácie OpenVPN Connect opisujú režim tunela, ktorý zadržiava bežnú prevádzku len vtedy, keď klient hlási pozastavený stav alebo stav opätovného pripájania, čo je užšie než všeobecný sľub o každej udalosti na každej platforme. Čítajte uvedené stavy, nie názov produktu. Opis napísaný pre jedno zostavenie klienta sa neprenáša na klienta iného dodávateľa.

Android zobrazuje to isté slovo pri dvoch ovládacích prvkoch, pretože trvalá VPN a blokovanie pripojení bez VPN sa dokumentujú oddelene. Klientska aplikácia pre počítač s podobne nazvaným zaškrtávacím poľom môže uplatňovať niečo užšie alebo širšie než ktorýkoľvek z nich. Považujte spoločné označenie v dvoch ponukách za náhodu, kým si neprečítate oba opisy. Spravované zariadenia pridávajú tretiu vrstvu, pretože profil zariadenia môže vynútiť nastavenie, ktoré používateľ nevidí a nemôže zrušiť.

Podobné nastavenia platformy nie sú rovnocenné

Porovnajte ovládací prvok, ktorý vidíte, s pravidlami, ktoré skutočne platia. Na spravovanom zariadení môže byť viditeľný prepínač sivý alebo zapnutý, zatiaľ čo profil vyššej úrovne vynucuje opak. Pýtajte sa na účinné pravidlá, nie na miestne, a odpoveď si vyžiadajte písomne.

Zapíšte, čo každá vrstva tvrdí, skôr než niečo otestujete, pretože sa obe často rozchádzajú a ten rozpor sa pri začatí testov ľahko stratí. Zariadenie, ktoré počas testu blokuje správne, môže blokovať z dôvodu, ktorý nikto nedokumentoval.

Spúšťajte po jednej udalosti a zapisujte kód

Testujte jednu udalosť na jeden beh, s neškodnou požiadavkou, a každý pokus urobte novou požiadavkou, nie stránkou, ktorá už môže byť v medzipamäti. Príkazy nižšie zhodia tunel, vyžiadajú stránku a ukážu, či sa rozhranie vrátilo.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

Tabuľka priraďuje každú akciu pozorovaniu, na ktorom záleží, a dôkazu, ktorý stojí za uchovanie. Požiadavka, ktorá zlyhá v rámci časového limitu, vám povie, že blok zasiahol; požiadavka, ktorá prejde, vám povie, že prevádzka našla inú cestu, čo môže byť vylúčená trasa, nie vypnutý blok. Po významnej aktualizácii softvéru alebo zmene pravidiel smerovania zopakujte celú sadu, pretože obe môžu zmeniť vetvu bez toho, aby sa pohlo akékoľvek viditeľné nastavenie. Nakoniec chcete predvídateľné správanie pri zlyhaní, nie upokojujúcu ikonu.

Výnimky, hosťovské portály a čo blok nedokáže

Prístup k miestnej sieti je obvyklou výnimkou a mení rozsah sľubu. Klient sa môže dostať k tlačiarni v tej istej podsieti, zatiaľ čo blokuje všetko ostatné, čo je doma rozumné a v hosťovskej sieti sporné. Rozhodnite, či tú výnimku chcete, skôr než ju za vás objaví incident.

Prísny blok tiež sťažuje prihlásenie na portál hosťovskej siete, pretože portál je práve tá priama prevádzka, ktorú má blok zastaviť. Naučte sa podporovaný spôsob autorizácie siete a potom pravidlá vedome obnovte, namiesto vypínania ovládacích prvkov, kým sa stránka nenačíta. Odpoveď resolvera a smerovaciu tabuľku držte v jednej poznámke, ako nižšie. Čo prepínač nedokáže, je urobiť službu anonymnou, pretože blokovanie prevádzky mimo tunela nič nehovorí o tom, čo sa deje vnútri.

resolvectl query example.com
ss -tunp | grep -v tun0