Kill switch-ku wuxuu xannibaa serverka VPN ka hor inta aan taraafik qulqulin
Marxaladdee ay kill switch-ku xannibto: raadinta barta ugu dambeysa, wadada dibadda, wadada soo noqodka iyo ka-reexaannada duugoobay — tirooyin halkii qiyaas.
Kill switch-yadu waxay ku guuldareystaan jihada dadku aanay filayn: waxaa loo dhisay inay xannibaan taraafikga marka tunnel-ku hoos yahay, paketada dhisa tunnel-kana waa taraafik laftiisa. Taasi waa khaladka oo dhan. Qaybta sharciyada ee tuurta wax kasta oo aan tunnel-ka ka soo bixin waxay sidoo kale tuurtaa gacan-qaadka kaas oo kici lahaa, sidaas darteed macmiilku wuxuu dib ugu celiyaa wareeg, khaladkana waxaa loo nisbeeyaa marxaladda marka hore la hubiyo. Ka hor inta aadan ballaarin derbiga dabka, ogaado saddexda marxaladood kee ayaa la diidayaa: raadinta magaca, paketka dibadda ee xagga saaxiibka, ama jawaabta soo noqota.
Sida tunnel-ka iyo gaadiidkiisa u gaar ah ay isku tiirsan yihiin
Akhri macmiilka VPN sida laba xaaladood oo shabakadeed oo wadaaga hal waddo socket. Ka hor inta tunnel-ku jirin, macmiilku wuxuu ka furaa socket adaptarka jirka oo wuxuu u diraa fareemooyin sir ah cinwaanka iyo dekedda saaxiibka. Kaliya marka is-dhaafsigaas guuleysto ayuu abuuraa qalabka tunnel-ka oo rakibaa waddooyinka. Kill switch waa siyaasad ku saabsan xaaladda labaad, oo loo qoray si ballaaran oo labadaba khuseeya.
Sharciyada ku saleysan interface-ka waa qaabka caadiga ah: aqbal waxa ka soo baxa tun0 ama wg0, tuur inta kale ee waddada bixitaanka. Qaabkaas ma reebi karo xiriirka macmiilka laftiisa ee serverka, sidaas darteed hirgelinta saxda ah waxay si cad u dartaa ka-reexaankaas, adigana sidaas baad sameysaa marka gacan ku qoreysid sharciyada. Sharciyada app kasta ee Windows iyo macOS waxay ka fogaadaan qayb tan iyagoo u eegaya process halkii interface, laakiin process-ku wali waa inuu soo baxaa ka hor inta tunnel-ku jirin.
Saddex marxaladood, sida ay u dhacaan
Marxaladda koowaad waa xallinta. Marka profile-ku kaydiyo magaca host halkii cinwaan qoraal ah, macmiilku wuxuu u baahan yahay jawaab DNS ka hor inta uusan wax dirin. Profile-ku u jeediya DNS xalliyaha tunnel-ka wuxuu abuuraa hakad: xalliyuhu waxa uu ku gaari karaa kaliya tunnel-ka ay raadintu awood u yeelatay. Xallinta dibadda tunnel-ka, ama barta ugu dambeysa ku dhejinta cinwaan, waxay meesha ka saartaa madmadowgaas.
Marxaladda labaad waa paketka dibadda, kaas oo waa inuu marka hore maro waddada kadibna derbiga dabka, isla nidaamkaas. wireguard-tools waxay qabataa qaybta waddada ee WireGuard iyadoo calaamadeyneysa paketadeeda oo ku dartaa sharci siyaasadeed si ay uga baxaan waddada caadiga ah ee ay hadda rakibtay; bogga buugga wg-quick wuxuu sharraxayaa sharcigaas iyo shaxda uu isticmaalo. Dib u dhis waddadaas gacan, ama u ogolow qalab labaad inuu dib u qoro sharciyada, paketada calaamadeysan ayaa laga yaabaa in dib loogu celiyo tunnel-ka ay tahay inay abuuraan.
Marxaladda saddexaad waa waddada soo noqodka. Gacan-qaad aan jawaab lahayn ma aha caddayn tuuris bixitaan; waxay si isku mid ah ula jaanqaadaysaa sharci gelitaan server ama qalab NAT oo illoobay khariidadda. Kala sooc kuwaas ka hor inta aadan taaban macmiilka.
| What you see | Stage | Where to look |
|---|---|---|
| The client log repeats a resolve step and no packets appear on the wire | 1, name lookup | Resolver path while the tunnel is down |
| The send counter on the physical adapter stays flat | 2, routing | Peer route and policy rules |
| The send counter rises and a firewall drop counter rises | 2, firewall | Rule order, mark, and interface match |
| Packets leave and nothing comes back | 3, return path | Server input rules, NAT, listening port |
Macmiilladu waxay diiwaangeliyaan calaamadda ay ogaadaan, ma aha marxaladda guuldareysatay, sidaas darteed shaxdu badanaa way ka dhaqso badan tahay log-ka.
Tirooyinku waxay go'aan gaaraan si ka dhaqso badan log-yada
Linux, nft list ruleset ama iptables -vnL OUTPUT wuxuu daabacaa tiro paket sharci kasta. Hal mar ku xir, u ogolow inuu guuldareysto, kadib dib u akhri tirooyinka. Sharciga tirodiisu dhaqaaqday waa sharciga gacan-qaadku ku dhacay; haddii aan meelna wax dhaqaaqin, paketku waligiis ma gaarin derbiga dabka. Waxaan arkay koox sharciyo oo tuuray gacan-qaadkooda, tirooyinka oo keliya ayaa sheegay.
Si aad u kala soocdo waligiis ma gaarin derbiga dabka iyo waligiis ma ka bixin host-ka, fiiri interface-ka laftiisa. ip -s link show dev wlan0 wuxuu soo sheegaa paketada la diray, iyo tcpdump -ni wlan0 udp port 51820 wuxuu muujiyaa fareemooyinka. Haddii uu fidsan sii ahaado inta macmiilku dib u celinayo, ciladdu waxay ka sarreysaa netfilter: waddo saaxiib oo maqan, sharci siyaasadeed oo u jeeda qalab aan wali jirin, ama khalad socket oo macmiilku liqo.
Tijaabi ka-reexaannada cinwaanno dokumenti ah sida 203.0.113.10, si qalad uusan u baari karin host-ka qof kale.
Ka-reexaanka barta ugu dambeysa ee duugoobay waxaa loo akhriyaa sida jabka serverka
Nooca ugu khiyaanada badan wuxuu soo baxaa ka dib marka cinwaanka saaxiibka uu is beddelo: adeeg cinwaan firfircoon ayaa dhaqaajiyay, host-ka dib ayaa loo dhisay, ama cinwaanka bixitaanka shabakaddaadu wuu duwan yahay. Ka-reexaanku wali wuxuu magacaabaa cinwaankii hore, sidaas darteed paketada u socda kan cusub waxay ku dhacaan sharciga tuurista. Isla qaabeynta ayaa shalay shaqeynayay, taasina waa sababta dadku uga bilaabaan baaritaanka serverka.
Magaca host ee ku dhex jira sharci derbiga dabka kuma badbaadiyo. nftables magacu waxaa la xalliyaa marka kooxda sharciyada la rarayo, sidaas darteed waxay dhejisaa cinwaankii waqtigaas jiray oo u duugoobaa sida mid qoraal ah. Xalka waara waa in la cusboonaysiiyo ka-reexaanka marka barta ugu dambeysa is beddesho oo laga dhigo mid cidhiidhi ah: hal cinwaan saaxiib, hal deked gaadiid. Baaxad ballaaran oo ku filan inay ka gudubto isbeddel cinwaan ayaa sidoo kale ku filan inay u ogolaato taraafik aan la xiriirin inuu soo baxo.
Marka kill switch-ku ku shaqeeyo host-ka serverka
Isla tiirsanaantaas waxay ku taal dhinaca kale, halkaasna way fududahay in laga maarmo. Haddii mashiinka u shaqeeya serverkaaga VPN uu sidoo kale maamulo macmiil desktop oo kill switch leh, ama profile derbiga dabka oo laga koobiyeystay laptop, sharciyadiisa tuurista waxay khuseeyaan adeegga dhammeeya tunnel-yada. Jawaabaha gacan-qaadka macmiilka waa la tuuraa, sidaas darteed macmiil kastaa wuu ku guuldareystaa inuu isku xiro inta serverku u eg yahay mid caafimaad qaba oo interface-ka tunnel-kiisu uu fadhiisto isagoo aan la isticmaalin.
Host-kaas wuxuu u baahan yahay saddex aqbal oo cidhiidhi ah ka hor tuurista: dekedda dhageysiga ee interface-ka jirka, interface-ka tunnel-ka ee taraafikga la furey, iyo u gudbinta tunnel-ka xagga waxa macmiilladu tahay inay gaaraan. Akhri kooxda la rakibay iyadoo la isticmaalayo nft list ruleset, iptables -S, ama pfctl -sr ka hor inta aadan wax beddelin, oo xusuuso in koox sharciyo la kaydiyay ay ka badbaaddo dib u bilaabid, sidaas darteed khalad halkaas ku jira wuxuu ka nolaan badbaadaa process-kii sameeyay.
Nidaamka soo kabashada ee mashiinka xiran hayaa
Ka shaqee profile-ka dibadda. Akhri cinwaanka saaxiibka iyo dekedda uu macmiilku isticmaalo, xaqiiji in magaca host-ku xalliyo tunnel-la'aan, kadib ku dar hal ka-reexaan cinwaankaas iyo dekeddaas kaliya adaptarka jirka. Dib u xir oo fiiri tirooyinka dirista; gacan-qaad dhammaystiran waa calaamadda in marxaladda labaad la hagaajiyay.
Ka tag inta kale ee siyaasadda tuurista meesheeda inta aad tijaabinayso. Hubin aan waxyeello lahayn waa inaad isku daydo xiriir cinwaan dokumenti ah oo aan la xiriirin oo aad xaqiijiso inuu wali waqti ku dhammaado, taas oo tusaysa in kill switch-ku shaqeynayo ee aanu damisnayn. Adkee ka-reexaanka marka tunnel-ku xasilloobo, oo ha uga tagin oggolaansho joogto ah oo wax walba ah barnaamijka macmiilka sababtoo ah waa fududahay.
Haddii tunnel-ku kaco oo app-ku wali guuldareysto, marxaladaha hadhay ma aha tan: DNS kala qaybsan, MTU iyo waddo kasta oo app ah mid kastaa wuxuu soo saaraa tunnel xiran oo taraafik jaban leh, mid kastaana wuxuu leeyahay hubin koowaad oo duwan.