Varnostno stikalo VPN: kateri promet blokira in kdaj
Ponovna povezava obnovi tunel; varnostno stikalo odloči, kaj se zgodi, dokler ga ni. Ločeno preizkusite prekinitev, ročno odklopitev, izhod iz aplikacije in menjavo omrežja.
Dve funkciji opisujemo z isto besedo, opravljata pa različno delo. Samodejna ponovna povezava poskuša vrniti tunel in lahko uspe v sekundi, medtem ko zahteve v tej vrzeli spodletijo. Varnostno stikalo odloči, kaj se s prometom zgodi v tej vrzeli. Branje odjemalca, kot da bi bilo oboje ena nastavitev, privede do tega, da ljudje začnejo zaupati ikoni namesto pravilniku.
Blokiranje in ponovno povezovanje sta ločeni odločitvi
En odjemalec blokira le, kadar je prekinitev nepričakovana, nato se znova poveže in blokado odpravi. Drugi drži blokado na sistemski ravni, dokler nekdo ročno ne spremeni nastavitve, tretji pa namerno odklopitev šteje za dovoljenje za obnovitev običajnega dostopa. To so tri različna vedenja in dokumentacija ponudnika pove, katero izvaja vaša različica.
Uvoz profila o tem vprašanju ne odloči. Isti strežniški profil se naloži v dva odjemalca z nasprotnim vedenjem blokiranja, ker profil nosi nastavitve in ne obljube. Zato lahko potrditveno polje na namizju in stikalo na telefonu s podobnimi oznakami izvajata različna pravila. Preberite opis ob kontrolniku na svoji platformi in nato preizkusite, kaj počne.
Isti profil se v dveh odjemalcih obnaša drugače
Nastavitve aplikacije OpenVPN Connect opisujejo način tunela, ki zadrži običajen promet le, dokler odjemalec poroča o začasno ustavljenem stanju ali stanju ponovnega povezovanja, kar je ožje od splošne obljube o vsakem dogodku na vsaki platformi. Berite navedena stanja, ne imena izdelka. Opis, napisan za eno različico odjemalca, se ne prenese na odjemalca drugega ponudnika.
Android prikaže isto besedo pri dveh kontrolnikih, ker sta stalni VPN in blokiranje povezav brez VPN dokumentirana ločeno. Namizni odjemalec s podobno imenovanim potrditvenim poljem lahko izvaja nekaj ožjega ali širšega od obeh. Skupno oznako v dveh menijih imejte za naključje, dokler nista prebrana oba opisa. Upravljane naprave dodajo tretjo raven, ker lahko profil naprave vsili nastavitev, ki je uporabnik ne vidi in je ne more razveljaviti.
Podobne nastavitve platforme niso enakovredne
Primerjajte kontrolnik, ki ga vidite, s pravilnikom, ki dejansko velja. Na upravljani napravi je lahko vidno stikalo sivo ali vklopljeno, medtem ko profil višje ravni vsiljuje nasprotno. Zahtevajte dejanski pravilnik in ne krajevnega, odgovor pa dobite v pisni obliki.
Zapišite, kaj trdi vsaka raven, preden karkoli preizkusite, ker se oba pogosto razhajata in to razhajanje se ob začetku preizkusov zlahka izgubi. Naprava, ki med preizkusom blokira pravilno, morda blokira iz razloga, ki ga nihče ni dokumentiral.
Zaženite en dogodek naenkrat in zapišite kodo
Preizkusite en dogodek na vsak zagon, z neškodljivo zahtevo, in vsak poskus naredite novo zahtevo, ne strani, ki je morda že v predpomnilniku. Ukazi spodaj spustijo tunel, zahtevajo stran in pokažejo, ali se je vmesnik vrnil.
ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0Tabela poveže vsako dejanje z opažanjem, ki je pomembno, in z dokazom, ki ga je vredno hraniti. Zahteva, ki spodleti v času omejitve, pove, da je blokada delovala; zahteva, ki gre skozi, pove, da je promet našel drugo pot, kar je lahko izključena pot in ne izklopljena blokada. Ponovite celoten sklop po pomembni posodobitvi programske opreme ali spremembi pravil usmerjanja, ker lahko oboje spremeni vejo, ne da bi se premaknila katera koli vidna nastavitev. Na koncu želite predvidljivo vedenje ob napaki, ne pomirjujoče ikone.
| What I do | What I watch | Evidence to keep |
|---|---|---|
| Bring the tunnel down by hand | Whether a fresh request fails at once | The HTTP code and the client state at that second |
| Choose Disconnect in the client | Whether ordinary access returns on purpose | The same request succeeding with no tunnel up |
| Quit the app, then reboot | Whether the block outlives the client | A request made from a clean boot |
| Move from Wi-Fi to cellular | Whether DNS and IPv6 follow the policy | The resolver answer, the route table and the code again |
Izjeme, gostujoči portali in česa blokada ne zmore
Dostop do lokalnega omrežja je običajna izjema in spremeni obseg obljube. Odjemalec lahko doseže tiskalnik v istem podomrežju, medtem ko blokira vse drugo, kar je doma smiselno, v gostujočem omrežju pa vprašljivo. Odločite se, ali to izjemo želite, preden jo namesto vas odkrije incident.
Stroga blokada oteži tudi prijavo na portal gostujočega omrežja, ker je portal prav neposredni promet, ki naj bi ga blokada ustavila. Naučite se podprtega načina za odobritev omrežja in nato pravilnik zavestno obnovite, namesto da izklapljate kontrolnike, dokler se stran ne naloži. Odgovor razreševalnika in usmerjevalno tabelo hranite v isti beležki, kot spodaj. Česar varnostno stikalo ne more, je narediti storitev anonimno, ker blokiranje prometa zunaj tunela ne pove ničesar o tem, kaj se dogaja znotraj.
resolvectl query example.com
ss -tunp | grep -v tun0