Zablokuje váš bezpečnostný vypínač aplikáciu, ktorú ste vyčlenili z tunela?

Bezpečnostný vypínač zapnutý, aplikácia zámerne vyčlenená z tunela a obe požiadavky si teraz odporujú. Jedna hovorí, že nič nesmie odísť inak než tunelom, druhá hovorí, že tento program musí ísť priamo. Každý klient tento konflikt rieši inak a stránka nastavení málokedy vysvetlí, ktoré pravidlo vyhráva. Napíšte zásady pre jednotlivé aplikácie, skôr než uveríte akémukoľvek štítku.

Dve zásady, jeden stroj

Bezpečnostný vypínač je sľub o zlyhaní: keď tunel nechráni prevádzku, prevádzka sa zastaví. Rozdelené tunelovanie je sľub o výbere: tieto programy alebo ciele používajú tunel a tamtie nie. Druhý sľub vytvára prevádzku, o ktorej musí prvý rozhodnúť. Ani jeden sľub nie je nesprávny; len ich písali rôzni ľudia pre rôzne hrozby.

Možné sú tri výsledky a len jeden je ten, ktorý nasadenie zamýšľalo. Vyčlenená aplikácia môže počas výpadku zostať priama, čo rešpektuje rozdelenie a porušuje vypínač. Môže byť zablokovaná so všetkým ostatným, čo rešpektuje vypínač a porušuje rozdelenie. Alebo môže byť blokovaná len niekedy, podľa toho, ako platforma vyhodnotí pravidlo po zmiznutí rozhrania. Práve posledný prípad generuje tikety.

Najprv zoznam aplikácií, potom pravidlo

Vypíšte programy, ktoré musia používať tunel, tie, ktoré musia ísť priamo, a názvy alebo ciele, ktoré sa nesmú nikdy objaviť na žiadnom zozname. Uveďte oddelene správanie prekladača a stranu IPv6, pretože obe môžu sledovať inú zásadu než prevádzka stránok.

Pravidlá pre aplikácie zvyčajne zodpovedajú spustiteľnému súboru alebo balíku, nie profilu v ňom. Profil prehliadača, anonymné okno a rozšírenie nemajú vlastnú sieťovú identitu, takže dedia to, čo dostal proces. Pomocný proces spustený týmto prehliadačom nemusí to isté pravidlo zdediť vôbec.

Sú potrebné dva zoznamy, nie jeden: čo musí tunel niesť a čo nikdy a z nijakého dôvodu nesmie cestovať mimo neho. Aplikácia, ktorá je na oboch, je konflikt požiadaviek, nie detail implementácie, a musí sa vyriešiť pred konfiguráciou klienta.

Čo robí klient počas výpadku

Niektoré implementácie blokujú vyčlenené aplikácie počas výpadku a po opätovnom pripojení im vrátia prístup. Iné zachovávajú priamu cestu stále, čo je v súlade s rozdelením a slabšie ako bezpečnostná vlastnosť. Zámok na úrovni platformy môže úplne prepísať výber klienta pre jednotlivé aplikácie. Ten rozdiel nie je kozmetický, pretože rozhoduje, či je vyčlenená aplikácia výnimkou zo zásad alebo dierou.

Vždy zapnutá VPN v Androide s voľbou blokovať pripojenia bez VPN je najjasnejší prípad, pretože zámok vynucuje platforma, nie klient, a vyčlenený balík je blokovaný so všetkým ostatným, kým je tunel vypnutý. Klientsky program pre počítač, ktorý uplatňuje výnimky pre aplikácie vo vlastnom ovládači, zvyčajne necháva vyčlenený proces na fyzickom rozhraní, pretože prevádzku toho procesu nikdy nevlastnil. Obe správania sú obhájiteľné a len jedno zodpovedá požiadavke, že vyčlenená aplikácia musí zostať použiteľná. Pýtajte sa, ktorá komponenta pravidlo vynucuje, skôr než výsledok vyložíte.

Čítajte správanie operačného systému, ktorý máte pred sebou, nie nastavenie rovnakého mena inde. Rozhrania na vynútenie sa líšia a jedno zaškrtávacie pole môže na počítači a v telefóne znamenať striktne odlišné veci. Aj verzia je dôležitá, pretože ovládanie zámku sa medzi vydaniami Androidu presúvalo medzi obrazovkami a zoznam výnimiek na strane klienta nie je to isté ovládanie ako zámok platformy.

Tri okamihy: tunel beží, tunel stojí, obnovené pripojenie

Použite neškodné požiadavky v troch okamihoch: kým tunel funguje, počas zlyhania, ktoré vás zaujíma, a po opätovnom pripojení. Jediný výsledok z prehliadača nemôže preukázať správanie vyčlenenej aplikácie.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

Výstupná adresa ukazuje, ktorá cesta bola použitá, a explicitný test rozhrania ukazuje, čo sa stane, keď je tunel jediným dostupným východom. Poznamenajte očakávaný výsledok vedľa každého riadku, skôr než ktorýkoľvek spustíte, inak bude výstup vyložený dodatočne.

Ak vyčlenená aplikácia stratí pripojenie, prejdite prioritu zásad, skôr než pridáte široké povolenie na firewalle, pretože taká oprava zničí rozdiel, ktorý ste testovali. Ak zostane priama, potvrďte, že to bola dokumentovaná výnimka a nie náhodný pád späť. Pri prísnej požiadavke na celé zariadenie skráťte zoznam výnimiek, kým ho nebude možné otestovať ručne.