Sababta kill switch uu u dhigaa taraafikada marka aad beddelato server
Sababta kill switch uu u xannibo taraafikada inta lagu jiro beddelka server, waxa macmiilku sameeyo waqtigaas, iyo sida loo kala garto hakad caadi ah iyo xannibaad xanniban.
Waxaad doorataa server u muuqda mid dhow, waxaad riixdaa isku xir, oo browser-ku wuu joojiyaa soo dejinta ka hor inta tunnel-ka cusub uusan kicin. Calaamaddu waxay u gudubtaa xaalad isku xir oo halkaas ayay ku sii jirtaa ilaa tab kastaa waqtigiisa dhammaado. Hakadkaas badanaa waa kill switch oo u shaqeeya sida loo qorsheeyay: taraafikada waa la xannibayaa inta macmiilku uusan haysan tunnel uu ku diro. Hadday hakadku la aqbali karo waxay ku xidhan tahay waxa macmiilku sameeyo sekannadaas, iyo haddii xannibaadda la qaado marka uu sheegto in la qaaday.
Waxa macmiilku sameeyo inta u dhaxaysa laba server
Beddelka barta dhammaadka waa dhowr tallaabo, ma aha hal switch. Macmiilku wuxuu dumiyaa tunnel-ka hadda, cusboonaysiiyaa sharciyadiisa xannibaadda, xalliyaa oo gaaraa barta dhammaadka cusub meel ka baxsan tunnel-ka, ka dibna rakibaa waddooyinka cusub oo qaadaa xannibaadda. Farqiga aad dareento wuxuu u dhexeeyaa talaabada koowaad iyo tan ugu dambaysa.
Halkan nidaamka ayaa muhiim ka ah xawaaraha. Haddii sharciyada xannibaadda ay dhaqan galaan ka hor istisnaanta barta dhammaadka cusub, macmiilku ma dhammayn karo isku-duubnaanta wuuna ku sii jiraa xaalad isku xir ilaa waqti-ka-dhammaadka. Haddii istisnaantu tahay koobi cinwaanka serverkii hore, isku-duubnaanta cusub waxay u ekaanaysaa sidii kasta oo kale oo baxa oo waa la tuuraa. Labada xaaladoodba browser-ka way isku mid u muuqdaan, taasina waa sababta beddelka lix ilbiriqsi ka dib soo kabsada iyo kan waligiis soo kabanayn ay isku sabab yeelan karaan.
Barta dhammaadka cusub waxay u baahan tahay dalool ku jira xannibaadda
Si tunnel-ka loo dhiso, macmiilku waa inuu baakadaha u diraa cinwaanka iyo dekedda serverka cusub isagoo maraya interface-ka jireed, tusaale ahaan UDP 51820 profile-ka caadiga ah ee WireGuard ama 1194 iyo 443 ee OpenVPN, wax kasta oo profile-kaaga uu qeexo. Taraafikadaas kuma jirto tunnel-ka hadda la abuurayo, sidaas darteed xannibaad loogu talagalay qalabka oo dhan way liqdaa haddii aanu jirin sharci fasax oo u dhiganta.
Profile-yada ku saleysan magaca martigeliyaha waxay ku daraan shuruud labaad: raadinta lafteeda. Haddii macmiilku xalliyo barta dhammaadka ka hor inta xannibaaddu uusan kicin, wuxuu isticmaali karaa cinwaan kaydsan, laakiin marka profile-ku cinwaannada rogrogo ama gelista kaydka ah duugoobdo, isku-duubnaantu waxay u socotaa cinwaan aanu sharci fasaxu daboolin. IPv6 ayaa tan muuqata ka dhigta, maxaa yeelay barta dhammaadka laba-stack ah waxay daabici kartaa diiwaan A iyo AAAA labadaba, oo sharci fasax ah oo kaliya daboola cinwaanka v4 wuxuu macmiilka ku reebaa inuu mar kale isku dayo cinwaanka v6 ee xanniban.
Magacyada xulashooyinka iyo qiimayaasha caadiga ah way kala duwan yihiin macmiilka iyo nooca, sidaas darteed akhri liiska la diiwaangeliyay ee kaaga halkii aad ka qiyaasi lahayd sawirrada shaashadda. Tixraaca dejinta OpenVPN Connect ee openvpn.net/connect-docs/app-settings-windows waa hal tusaale oo ku saabsan sida macmiilku u sharraxayo xulashooyinka xannibaadda iyo tunnel-ka qaybsan.
Fail-closed waa mishiin xaaladeed, ma aha switch
Inta badan macmiillada waxay xannibaadda u sheegaan sida siyaasadda derbiga dabka ee saddex xaaladood: tunnel kor, taraafikadu marayso tunnel-ka oo xannibaad ma jirto; tunnel hoos, xannibaaddu firfircoon tahay; iyo kala-guurka, xannibaaddu firfircoon tahay oo lagu daray istisnaado ku meel gaar ah oo barta dhammaadka ah. Xaaladda saddexaad ayaa khaladaadku ku nool yihiin, maxaa yeelay waa inay laba jeer is beddeshaa dhowr ilbiriqsi gudahood, oo ka bixi waayista waxay u ekaanaysaa si sax ah xannibaad joogto ah.
Habka ayaa ku kala duwan platform-ka, guuldarraduna sidoo kale. Shaandhaynta Windows Filtering Platform waxay qaadaan miisaanno, sidaas darteed shaandhayn xannibaad ah oo ka sarraysa fasaxaaga waxay sii waddaa tuurista baakadaha inkasta oo fasaxu jiro, iyo shaandhaynta ay ka tagtay geedi socod macmiil ah oo la dilay waxay qalabka ka dhigi karaan mid offline ah ka dib marka barnaamijku tago. Macmiillada macOS badanaa waxay sharciyada pf ku qoraan anchor, halkaas oo nidaamka sharciyada iyo go'aannada degdegga ah ay go'aamiyaan sharci keeni kara. Macmiillada Linux badanaa waxay maamulaan silsilad nftables ama iptables oo leh siyaasad drop iyo fasaxyo cad oo loogu talagalay barta dhammaadka, interface-ka tunnel-ka iyo loopback. Habka always-on VPN ee Android oo leh xulashada xannibaadda isku xirka VPN-la'aanta ah ayaa ka adag kooxda, maxaa yeelay nidaamka hawlgalku wuxuu xannibaadda ku dabaqaa qalabka oo dhan ee ma aha barnaamij kasta.
WireGuard wuxuu u baahan yahay qoraal u gaar ah, maxaa yeelay AllowedIPs waa doorashada waddooyinka, ma aha xannibaha. Wuxuu go'aamiyaa meelaha ay tunnel-ka galaan; waxba ma sameeyo si uu ka hortago baakad aan weli tunnel lahayn inuu ka baxo Wi-Fi. Dejinta kaliya WireGuard oo aan lahayn sharci derbi dab ah, kill switch dhab ahaantii waa maqnaanshaha waddo, oo isku-duubnaan la tuuray ka dib baakad dhab ah ayaa ka bixi kara interface-ka jireed.
Cabbir farqiga halkii aad calaamadda eegi lahayd
La soco baakadaha, ma aha nalalka xaaladda. Linux gudihiisa bilaab ping gaabis ah oo u socda cinwaan guud terminal-kaaga mid ah oo ku qabto dekedda qaadista tunnel-ka interface-ka jireed mid kale:
ping -i 0.2 -c 100 1.1.1.1 | tail -5
sudo tcpdump -ni eth0 'udp port 51820'
Beddel server-ka macmiilka inta labaduba socdaan. Saddex arrimood ayaa muhiim ah: inta ay ping-yadu joogsadaan, haddii qabashadu muujiso isku-duubnaanta oo gaadhay barta dhammaadka cusub, iyo haddii taraafikadu soo noqoto ka hor ama ka dib marka xaaladda macmiilku isu beddelto mid isku xiran. Haddii farqiga ping-ku marka hore dhammaado, ama xannibaadda ayaa goor hore la qaaday ama tunnel-ku wuu kacsan yahay ka hor inta tilmaamuhu qirto. Haddii farqigu goor dambe dhammaado, tilmaamuhu aad buu u rajo weyn yahay.
Windows gudihiisa netsh wfp show state wuxuu qoraa sawir, kaas oo aad ka raadin karto shaandhaynta xannibaadda oo weli jira inta macmiilku sheeganayo inuu go'ay. macOS gudihiisa sudo pfctl -sr wuxuu taxaa sharciyada la soo raray iyo nidaamkooda. Ku xidh sawir kasta log-ga macmiilka laftiisa; jadwalka waqtiga ee ping-kaaga wuxuu kuu sheegayaa haddii xannibaaddu goor dambe dhammaatay ama waligeed ma dhammaan.
Mugdi caadi ah iyo xannibaad xanniban
Xoogaa hakad ah ayaa ah ujeeddada astaamahan, sidaas darteed samee kala soocid ka hor inta aadan beddelin dejinta kasta:
| What you see | Usually means | Next check |
|---|---|---|
| Two or three seconds of timeouts, then normal browsing | Expected fail-closed gap | Nothing to fix |
| State says connected, traffic stays dead | Block filter or route left behind | Firewall snapshot, client log |
| One app dead while others work | TCP session bound to the old exit address | Restart the app |
| LAN devices unreachable after the switch | LAN exception not reapplied | Allow-LAN or split-tunnel setting |
| New server hangs, the old one reconnects | Permit covers only the old address | Resolved address of the new host, including AAAA |
Haddii aad ku dhacdo safka labaad ama shanaad, ha damin kill switch-ka si aad u tijaabiso, maxaa yeelay taasi waxay khalad waddo u beddelaysaa daadin. Dib u bilow adeegga macmiilka, ama dib u bilow qalabka meesha shaandhayntu ka badbaadaan dilka geedi socodka, ka dibna eeg haddii xannibaaddu nadiifto. Haddii ay nadiifto, khaladku wuxuu ku jiraa nadiifinta waqtiga beddelka ee ma aha xannibaadda lafteeda.
Ka hor beddelkaaga xiga, xaqiiji afar arrimood: fasaxa barta dhammaadka wuxuu daboolaa qoys kasta oo cinwaan ah oo profile-kaagu xalliyo, log-ga macmiilku wuxuu muujinayaa kala-guurka oo dhammaaday, imtixaankaaga ping wuxuu cabbiraa farqiga ee ma aha calaamadda, iyo xiritaanka macmiilka wuxuu soo celiyaa isku xirka caadiga ah. Kill switch ku sii jira waqtiga beddelka oo markaas sii daaya ayaa shaqadiisa qabta. Kan goor hore ama waligiis sii daaya waa mudan in la cillad-saaro.