VPN прекидач заштите: који саобраћај блокира и када
Поновно повезивање враћа тунел; прекидач одлучује шта се дешава док га нема. Тестирајте одвојено прекид, ручно искључивање, излаз из апликације и промену мреже.
Две функције се описују истом речју и раде различит посао. Аутоматско поновно повезивање покушава да врати тунел и може успети у року од секунде док захтеви у том процепу падају. Прекидач одлучује шта се дешава са саобраћајем у том процепу. Читање клијента као да су оба једно подешавање доводи до тога да људи почну да верују икони уместо политици.
Блокирање и поновно повезивање су одвојене одлуке
Један клијент блокира само када је прекид неочекиван, затим се поново повеже и укине блок. Други држи блок на системском нивоу док неко ручно не промени подешавање, а трећи намерно искључивање сматра дозволом да се врати уобичајен приступ. То су три различита понашања, а документација добављача каже које ваша верзија примењује.
Увоз профила ништа не одлучује у том питању. Исти серверски профил се учитава у два клијента са супротним понашањем блокирања, јер профил носи подешавања, а не обећање. Зато и поље за потврду на рачунару и прекидач на телефону са сличним ознакама могу примењивати различита правила. Прочитајте опис поред контроле на својој платформи, а затим тестирајте шта она ради.
Исти профил се понаша различито у два клијента
Подешавања апликације OpenVPN Connect описују режим тунела који задржава уобичајен саобраћај само док клијент пријављује паузирано стање или стање поновног повезивања, што је уже од општег обећања за сваки догађај на свакој платформи. Читајте наведена стања, а не назив производа. Опис написан за једну верзију клијента не преноси се на клијента другог добављача.
Android приказује исту реч за две контроле, јер су стални VPN и блокирање веза без VPN-а документовани одвојено. Клијент за рачунар са слично названим пољем за потврду може примењивати нешто уже или шире од било ког од њих. Сматрајте заједничку ознаку у два менија случајношћу док се не прочитају оба описа. Управљани уређаји додају трећи слој, јер профил уређаја може наметнути подешавање које корисник не види и не може да поништи.
Слична подешавања платформе нису једнако вредна
Упоредите контролу коју видите са политиком која стварно важи. На управљаном уређају видљиви прекидач може бити сив или укључен док профил вишег нивоа намеће супротно. Тражите стварну политику, не локалну, и затражите одговор у писаном облику.
Запишите шта сваки слој тврди пре него што било шта тестирате, јер се та два често разилазе и то разилажење се лако изгуби када тестови почну. Уређај који током теста исправно блокира можда блокира из разлога који нико није документовао.
Покрените један догађај и запишите код
Тестирајте један догађај по покретању, са безопасним захтевом, и нека сваки покушај буде нови захтев, а не страница која је можда већ у кешу. Наредбе испод спуштају тунел, траже страницу и показују да ли се интерфејс вратио.
ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0Табела повезује сваку радњу са запажањем које је важно и са доказом који вреди сачувати. Захтев који падне у року каже вам да се блок активирао; захтев који прође каже да је саобраћај нашао други пут, а то може бити изузета рута, а не искључен блок. Поновите цео скуп после значајног ажурирања софтвера или промене политике рутирања, јер обоје може променити грану без померања иједног видљивог подешавања. На крају желите предвидиво понашање при отказу, а не икону која умирује.
| What I do | What I watch | Evidence to keep |
|---|---|---|
| Bring the tunnel down by hand | Whether a fresh request fails at once | The HTTP code and the client state at that second |
| Choose Disconnect in the client | Whether ordinary access returns on purpose | The same request succeeding with no tunnel up |
| Quit the app, then reboot | Whether the block outlives the client | A request made from a clean boot |
| Move from Wi-Fi to cellular | Whether DNS and IPv6 follow the policy | The resolver answer, the route table and the code again |
Изузеци, гостујући портали и шта блок не може
Приступ локалној мрежи је уобичајени изузетак и он мења обим обећања. Клијент може да достигне штампач на истој подмрежи док блокира све остало, што је код куће разумно, а на гостујућој мрежи упитно. Одлучите да ли желите тај изузетак пре него што га инцидент открије уместо вас.
Строги блок такође отежава пријаву на портал гостујуће мреже, јер је портал управо онај директни саобраћај који блок постоји да заустави. Научите подржани начин ауторизације мреже, а затим намерно вратите политику уместо да искључујете контроле док се страница не учита. Држите одговор резолвера и табелу рута у истој белешци, као испод. Оно што прекидач не може јесте да учини услугу анонимном, јер блокирање саобраћаја изван тунела не говори ништа о ономе што се дешава унутар њега.
resolvectl query example.com
ss -tunp | grep -v tun0