Да ли ће ваш заштитни прекидач блокирати апликацију коју сте изузели из тунела?

Заштитни прекидач је укључен, апликација је намерно изузета из тунела, и два захтева сада противрече један другом. Један каже да ништа не сме да изађе осим кроз тунел, други каже да овај програм мора да иде директно. Сваки клијент решава тај сукоб другачије, а страница са подешавањима ретко објашњава које правило побеђује. Напишите политику по апликацији пре него што поверујете било којој ознаци.

Две политике, једно рачунаро

Заштитни прекидач је обећање о квару: када тунел не штити саобраћај, саобраћај се зауставља. Подељени тунел је обећање о избору: ови програми или одредишта користе тунел, а она не. Друго обећање ствара саобраћај о коме прво мора да одлучи. Ниједно обећање није погрешно; само су их писали различити људи за различите претње.

Могућа су три исхода и само је један онај који је распоређивање намеравало. Изузета апликација може остати директна током прекида, што поштује поделу и крши прекидач. Може бити блокирана са свим осталим, што поштује прекидач и крши поделу. Или може бити блокирана само понекад, зависно од тога како платформа оцењује правило након што интерфејс нестане. Управо тај последњи случај ствара тикете.

Прво списак апликација, па правило

Наведите програме који морају да користе тунел, оне који морају да иду директно, и називе или одредишта која никада не смеју да се појаве ни на једном списку. Одвојено укључите понашање резолвера и страну IPv6, јер обоје могу да следе политику различиту од саобраћаја страница.

Правила по апликацији обично одговарају извршној датотеци или пакету, а не профилу унутар њега. Профил прегледача, приватни прозор и додатак не носе сопствени мрежни идентитет, па наслеђују оно што је процес добио. Помоћни процес који је тај прегледач покренуо можда уопште не наследи исто правило.

Потребна су два списка, не један: шта тунел мора да носи и шта никада ни због чега не сме да путује изван њега. Апликација која се појављује на оба јесте сукоб захтева, а не детаљ имплементације, и мора се решити пре конфигурисања клијента.

Шта клијент ради током прекида

Неке имплементације блокирају изузете апликације током прекида и враћају им приступ при поновном повезивању. Друге чувају директну путању све време, што је у складу с поделом и слабије као безбедносна особина. Закључавање на нивоу платформе може потпуно да надјача избор клијента по апликацији. Та разлика није козметичка, јер одлучује да ли је изузета апликација изузетак политике или рупа.

Android-ов стално укључени VPN са опцијом блокирања веза без VPN-а најјаснији је случај, јер закључавање спроводи платформа, а не клијент, и изузети пакет бива блокиран са свим осталим док је тунел искључен. Десктоп клијент који примењује изузетке по апликацији у сопственом драјверу обично оставља изузети процес на физичком интерфејсу, јер никада није поседовао саобраћај тог процеса. Оба понашања су одбрањива и само једно одговара захтеву да изузета апликација мора да остане употребљива. Питајте која компонента спроводи правило пре него што протумачите резултат.

Читајте понашање за оперативни систем пред собом, а не подешавање истог имена другде. API-ји за спровођење се разликују, и једно поље може да значи строго различите ствари на десктопу и на телефону. И верзија је важна, јер се контрола закључавања селила међу екранима кроз Android издања, а списак изузетака на страни клијента није иста контрола као закључавање платформе.

Три тренутка: тунел укључен, тунел искључен, поновно повезивање

Користите безопасне захтеве у три тренутка: док тунел ради, током квара који вас занима и после поновног повезивања. Један резултат прегледача не може да утврди понашање изузете апликације.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --interface tun0 https://api.ipify.org
dig +short example.com

Адреса излаза показује која је путања изабрана, а експлицитни тест интерфејса показује шта се дешава када је тунел једини доступни излаз. Запишите очекивани резултат поред сваког реда пре него што покренете било који од њих, иначе ће излаз бити протумачен накнадно.

Ако изузета апликација остане без мреже, проверите приоритет политика пре него што додате широко одобрење у заштитном зиду, јер та исправка уништава разлику коју сте тестирали. Ако остане директна, потврдите да је то био документовани изузетак, а не случајан повратак. За строг захтев за цео уређај, скратите списак изузетака док се не буде могао тестирати ручно.