Always-on VPN dhidi ya kill switch: ni kipi ulichowasha kwa hakika?

Always-on na kill switch hukaa mistari miwili mbali kwenye skrini moja ya mipangilio, kwa hiyo watu huzisoma kama majina mawili ya kipengele kimoja. Sivyo. Always-on ni sera ya kuunganisha tena: anzisha handaki wakati wa kuwasha, irudishe baada ya kuanguka au mabadiliko ya mtandao, na uendelee kujaribu inaposhindikana. Kill switch ni sera ya trafiki: hutaja vifurushi vinavyoweza bado kutoka kwenye mashine handaki ikiwa chini. Unaweza kuwasha kipengele cha kwanza bila cha pili, na kwenye majukwaa mengi matokeo ya kawaida bado huruhusu trafiki kutoka wakati wa pengo hilo.

Ukaguzi 1: je, kizuizi ni swichi yake yenyewe?

Kwenye Android 10 na zaidi, wasifu wa VPN uliohifadhiwa hufungua swichi mbili huru nyuma ya aikoni ya gia: Always-on VPN na Block connections without VPN. Ya pili pekee ndiyo kill switch. Kwa always-on pekee handaki hurudi kweli baada ya kukatika, na programu yoyote iliyo katikati ya ombi inaweza kufikia mtandao kupitia Wi-Fi au data ya simu hadi hilo litokee.

Vifaa vinavyosimamiwa huhifadhi mgawanyiko huo huo katika API ya sera. setAlwaysOnVpnPackage() huchukua jina la kifurushi na bendera lockdownEnabled; msimamizi anayeweka kifurushi na kuacha bendera kuwa false amejenga handaki ya kudumu, si kifaa kilichofungwa. Maneno kwenye konsoli mara chache hufanya tofauti hiyo ionekane.

Soma hali kutoka kwenye kifaa, si kutoka kwenye konsoli: adb shell settings get global always_on_vpn_app na adb shell settings get global always_on_vpn_lockdown. Ikiwa ya kwanza inarudisha null, hakuna kifurushi kinacholazimishwa katika ngazi ya jukwaa; ikiwa ya pili inarudisha 0, jukwaa halizuii chochote. Mwongozo wa VPN wa Android huzielezea kama uwezo tofauti, si hali moja.

Ukaguzi 2: kizuizi kinamilikiwa na tabaka gani?

Lebo huishi kwenye mteja na vizuizi kwa kawaida kwenye firewall, ndiyo sababu neno moja linamaanisha tofauti kwenye kila jukwaa. Mistari iliyo hapa chini ndiyo inayofaa kuthibitishwa kabla ya kuamini yoyote kati yao.

Windows ni mfano ulio wazi zaidi wa lebo isiyozuia. Huko Always On hueleza uthabiti wa handaki: handaki ya kifaa kwa uthibitishaji wa mashine na handaki ya mtumiaji kwa akaunti iliyoingia, zilizowekwa kupitia XML ya wasifu au Add-VpnConnection. Hakuna chochote kwenye wasifu huo kinachozuia kifurushi kinachotoka handaki isipokuwepo, na uchujaji wa kutoka hauwashwi kwa kawaida, kwa hiyo kompyuta ya mkononi kwenye Wi-Fi inaendelea kufanya kazi VPN ikiwa chini.

WireGuard hugawanyika vivyo hivyo, lakini kwa mteja. WireGuard for Windows ina chaguo la Block untunneled traffic kwa kila handaki linaloweka kanuni za uchujaji; zana za Linux hazina swichi kama hiyo. wg-quick huongeza njia kwa kila ingizo la AllowedIPs pamoja na kanuni ya fwmark, na wg-quick down huondoa zote mbili, kwa hiyo njia ya kawaida ya kimwili inachukua tena bila kifurushi kimoja kupotea.

Kwenye majukwaa ya Apple, always-on huja kama kipengele cha wasifu wa usimamizi kwa vifaa vinavyosimamiwa na huonyeshwa kama kanuni za on-demand, si kisanduku cha tiki. Swali la kujibiwa kutoka kwenye payload ni kama handaki iliyoshindikana inakataa trafiki au inaomba tu muunganisho mwingine. Kichwa cha menyu hakitakuambia.

Ukaguzi 3: pima pengo, si aikoni

Mabadiliko manne ni muhimu, na yanashindikana kwa namna tofauti: kuwasha kabla ya mtu yeyote kuingia, kulala na kuamka, mabadiliko kutoka Wi-Fi kwenda data ya simu, na kuanguka kwa mteja kunakoacha kiolesura cha handaki kikiwa kimeundwa nusu. Muunganisho safi kwenye moja yao hauthibitishi chochote kuhusu mengine matatu.

Jaribio la bei ndogo huzuia handaki kwa makusudi kisha hujaribu kutoka. Handaki ikiwa chini, curl -m 5 -sS -o /dev/null -w '%{http_code}' https://example.com ikirudisha 200 inamaanisha sera ni fail-open; muda kuisha au muunganisho kukataliwa inamaanisha kuna kitu bado kinazuia. ip route get 1.1.1.1 hutaja kiolesura ambacho kingebeba kifurushi, ambayo kwa kawaida ina habari zaidi kuliko aikoni ya trei, na systemctl status wg-quick@wg0 huonyesha kama kiolesura kiliondolewa kwa usafi.

Endesha ukaguzi huo huo kwenye dirisha la pili wakati mtandao unabadilika, si tu baada ya kutulia. Muda kati ya kukatika na jaribio jipya ndio sehemu muhimu, na utatuzi wa majina ni njia ya haraka zaidi ya kutambua kwamba trafiki ilitoroka: ikiwa kitatuzi cha ndani kinajibu handaki ikiwa chini, kizuizi hakijakamilika.

Ukaguzi 4: amua vighairi kabla ya kufunga

Vighairi viwili ni vya kimuundo. Mteja lazima afikie seva ya VPN yenyewe, kwa hiyo seti ya kanuni inayoacha kila kitu pia huzuia muunganisho upya ambao ungerudisha ulinzi. Captive portal pia haifikiki kupitia handaki isiyoinuka, kwa hiyo kifaa kilichofungwa kwenye Wi-Fi ya hoteli kinahitaji njia iliyoandikwa ya kufungua portal, si ya kubuni.

Umbo la chini kabisa, ncha ya mwisho ikiruhusiwa na kingine chochote kikaachwa:

table inet vpnlock {
  chain output {
    type filter hook output priority 0; policy drop;
    oifname "lo" accept
    ip daddr 203.0.113.10 udp dport 51820 accept
    oifname "wg0" accept
  }
}

Chukulia mstari huo wa ncha ya mwisho kama kigezo, si thabiti. Watoa huduma hubadilisha anwani, na kighairi kilichopitwa na wakati ndicho sababu ya kawaida ya kill switch inayofanya kazi kuwa kifaa kisichoweza kuunganishwa tena. Vichapishaji vya ndani, migawanyiko ya NAS na huduma za ukuzaji ni sehemu ya orodha hiyo hiyo iliyoandikwa, vinginevyo hugunduliwa tiketi moja ya msaada baada ya nyingine.

Ukaguzi 5: andika ulichothibitisha kwa hakika

Shikilia jedwali la safu nne na ujaze kwa kujaribu: hali, tabia inayotarajiwa, tabia iliyozingatiwa, ushahidi. Mistari ni mabadiliko kutoka ukaguzi 3 pamoja na kushindikana kwa makusudi moja. Mstari ambao huwezi kuujaza kwa matokeo ya amri ni mstari ambao hukujaribu, na kifaa kinachopita mstari wa kuunganisha tena na kushindikana kwenye mstari wa kuwasha ni cha kawaida vya kutosha kufanya dakika kumi za ziada zifae.

Kabla ya kusema imekamilika:

• Thibitisha kwamba mpangilio wa kuzuia ni tofauti na ule wa kuunganisha tena, na usome thamani yake kwenye kifaa.
• Jua tabaka gani linatekeleza kizuizi - chaguo la mteja, sera ya kifaa au firewall - na wapi tabaka hilo hupangwa.
• Shikilia amri moja ya ukaguzi inayothibitisha kizuizi, na iendeshe wakati wa mabadiliko, si baadaye.
• Andika orodha ya vighairi, ikijumuisha ncha ya mwisho, na bainisha nani huiburudisha.
• Kwenye maunzi yanayosimamiwa, acha sera iliyolazimishwa; kuondoa kizuizi hubadilisha hitaji badala ya kurekebisha handaki.