Bo vaše varnostno stikalo blokiralo aplikacijo, ki ste jo izključili iz predora?

Varnostno stikalo je vklopljeno, aplikacija je namerno izključena iz predora, in obe zahtevi si zdaj nasprotujeta. Ena pravi, da nič ne sme izstopiti razen skozi predor, druga pravi, da mora ta program iti neposredno. Vsak odjemalec to nasprotje rešuje drugače, in stran z nastavitvami redko pojasni, katero pravilo zmaga. Napišite politiko za vsako aplikacijo, preden zaupate kateri koli oznaki.

Dve politiki, en stroj

Varnostno stikalo je obljuba o napaki: ko predor ne ščiti prometa, se promet ustavi. Razdeljeni predor je obljuba o izbiri: ti programi ali cilji uporabljajo predor, oni pa ne. Druga obljuba ustvarja promet, o katerem mora prva odločiti. Nobena obljuba ni napačna; napisali so jih različni ljudje za različne grožnje.

Možni so trije izidi in le eden je tisti, ki ga je uvedba nameravala. Izključena aplikacija lahko med izpadom ostane neposredna, kar spoštuje delitev in krši varnostno stikalo. Lahko je blokirana z vsem ostalim, kar spoštuje stikalo in krši delitev. Ali pa je blokirana le včasih, odvisno od tega, kako platforma oceni pravilo po tem, ko vmesnik izgine. Prav zadnji primer ustvarja zahtevke.

Najprej seznam aplikacij, nato pravilo

Naštejte programe, ki morajo uporabljati predor, tiste, ki morajo iti neposredno, ter imena ali cilje, ki se ne smejo nikoli pojaviti na nobenem seznamu. Ločeno vključite vedenje razreševalnika in stran IPv6, ker lahko oba sledita drugačni politiki kot promet strani.

Pravila za posamezno aplikacijo običajno ustrezajo izvršljivi datoteki ali paketu, ne profilu v njem. Profil brskalnika, zasebno okno in razširitev nimajo lastne omrežne identitete, zato podedujejo, kar je prejel proces. Pomožni proces, ki ga je zagnal ta brskalnik, morda sploh ne podeduje istega pravila.

Potrebna sta dva seznama, ne eden: kaj mora predor nositi in kaj nikoli iz nobenega razloga ne sme potovati zunaj njega. Aplikacija, ki je na obeh, je spor zahtev in ne podrobnost izvedbe, in ga je treba razrešiti pred konfiguracijo odjemalca.

Kaj odjemalec počne med izpadom

Nekatere izvedbe med izpadom blokirajo izključene aplikacije in jim ob ponovni povezavi vrnejo dostop. Druge ves čas ohranjajo neposredno pot, kar je skladno z delitvijo in šibkejše kot varnostna lastnost. Zaklep na ravni platforme lahko popolnoma preglasi izbiro odjemalca za posamezno aplikacijo. Ta razlika ni kozmetična, ker odloča, ali je izključena aplikacija izjema v politiki ali luknja.

Vedno vklopljen VPN v Androidu z možnostjo blokiranja povezav brez VPN je najjasnejši primer, ker zaklep uveljavlja platforma in ne odjemalec, izključeni paket pa je blokiran z vsem ostalim, dokler je predor izklopljen. Namizni odjemalec, ki uveljavlja izjeme za posamezne aplikacije v svojem gonilniku, običajno pusti izključeni proces na fizičnem vmesniku, ker prometa tega procesa ni nikoli imel v lasti. Obe vedenji sta branljivi in le eno ustreza zahtevi, da mora izključena aplikacija ostati uporabna. Vprašajte, katera komponenta uveljavlja pravilo, preden razlagate rezultat.

Preberite vedenje operacijskega sistema pred seboj, ne nastavitve z istim imenom drugje. Vmesniki za uveljavljanje se razlikujejo, in eno potrditveno polje lahko na namizju in v telefonu pomeni strogo različne stvari. Tudi različica šteje, ker se je nadzor zaklepa med izdajami Androida selil med zasloni, seznam izjem na strani odjemalca pa ni isti nadzor kot zaklep platforme.

Trije trenutki: predor vklopljen, predor izklopljen, ponovna povezava

Uporabite neškodljive zahteve v treh trenutkih: medtem ko predor deluje, med izpadom, ki vas zanima, in po ponovni povezavi. En sam rezultat brskalnika ne more ugotoviti vedenja izključene aplikacije.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

Izhodni naslov pokaže, katera pot je bila izbrana, izrecni preskus vmesnika pa pokaže, kaj se zgodi, ko je predor edini razpoložljivi izhod. Zapišite pričakovani rezultat ob vsaki vrstici, preden katero koli zaženete, sicer bo izpis razložen naknadno.

Če izključena aplikacija ostane brez povezave, preglejte prednost politik, preden dodate široko dovoljenje v požarnem zidu, ker ta popravek uniči razliko, ki ste jo preizkušali. Če ostane neposredna, potrdite, da je bila to dokumentirana izjema in ne naključen odstop. Pri strogi zahtevi za celotno napravo skrajšajte seznam izjem, dokler ga ne bo mogoče preizkusiti ročno.