Always-on VPN vs kill switch: நீங்கள் உண்மையில் எதை இயக்கினீர்கள்?
Always-on VPN சுரங்கத்தை மீண்டும் இணைக்கிறது; kill switch அது இல்லாமல் எது வெளியேறலாம் என்பதைத் தீர்மானிக்கிறது. லேபிளை நம்பும் முன் ஐந்து சோதனைகள்.
Always-on மற்றும் kill switch ஒரே அமைப்புகள் திரையில் இரண்டு வரி இடைவெளியில் இருப்பதால், மக்கள் அவற்றை ஒரே அம்சத்தின் இரண்டு பெயர்களாகப் படிக்கிறார்கள். அவை அப்படியல்ல. Always-on என்பது மீண்டும் இணைப்புக் கொள்கை: துவக்கத்தில் சுரங்கத்தைத் தொடங்கு, செயலிழப்பு அல்லது பிணைய மாற்றத்திற்குப் பிறகு அதைத் திரும்பக் கொண்டுவா, தோல்வியடையும் வரை மீண்டும் முயற்சி செய். Kill switch என்பது போக்குவரத்துக் கொள்கை: சுரங்கம் கீழே இருக்கும்போது எந்தப் பொதிகள் இன்னும் இயந்திரத்தை விட்டு வெளியேறலாம் என்பதை அது பெயரிடுகிறது. இரண்டாவது இல்லாமல் முதலாவதை இயக்கலாம், மேலும் பெரும்பாலான தளங்களில் இயல்புநிலை முடிவு அந்த இடைவெளியிலும் போக்குவரத்தை வெளியே அனுமதிக்கிறது.
சோதனை 1: தடுப்பு தனி சுவிட்சா?
Android 10 மற்றும் அதற்குப் பிறகு, சேமிக்கப்பட்ட VPN சுயவிவரம் கியர் சின்னத்தின் பின்னால் இரண்டு சுயாதீன டாகிள்களைத் திறக்கிறது: Always-on VPN மற்றும் Block connections without VPN. kill switch இரண்டாவது மட்டுமே. always-on மட்டும் இருந்தால் சுரங்கம் விழுந்த பிறகு உண்மையில் திரும்பி வரும், அது நடக்கும் வரை கோரிக்கையின் நடுவில் உள்ள எந்தப் பயன்பாடும் Wi-Fi அல்லது மொபைல் தரவு வழியாகப் பிணையத்தை அடையலாம்.
நிர்வகிக்கப்படும் சாதனங்கள் கொள்கை API-யில் அதே பிரிவை வைத்திருக்கின்றன. setAlwaysOnVpnPackage() தொகுப்பின் பெயரையும் lockdownEnabled கொடியையும் எடுக்கிறது; தொகுப்பை அமைத்து கொடியை false ஆக விட்டுச் செல்லும் நிர்வாகி நிரந்தர சுரங்கத்தைக் கட்டியுள்ளார், மூடப்பட்ட சாதனத்தை அல்ல. console-இல் உள்ள சொற்கள் அந்த வேறுபாட்டை அரிதாகவே காட்டுகின்றன.
நிலையை console-இலிருந்து அல்ல, சாதனத்திலிருந்து படியுங்கள்: adb shell settings get global always_on_vpn_app மற்றும் adb shell settings get global always_on_vpn_lockdown. முதலாவது null திருப்பினால், தள மட்டத்தில் எந்தத் தொகுப்பும் நடைமுறைப்படுத்தப்படவில்லை; இரண்டாவது 0 திருப்பினால், தளம் எதையும் தடுக்கவில்லை. Android VPN வழிகாட்டி இவற்றை ஒரே பயன்முறையாக அல்ல, தனித்தனி திறன்களாக விவரிக்கிறது.
சோதனை 2: தடுப்பு எந்த அடுக்குக்குச் சொந்தம்?
லேபிள்கள் client-இலும் தடுப்புகள் பொதுவாக firewall-இலும் வாழ்கின்றன, அதனால்தான் அதே சொல் ஒவ்வொரு தளத்திலும் வேறு பொருள் தருகிறது. கீழே உள்ள வரிகள் அவற்றில் எதையும் நம்பும் முன் உறுதிப்படுத்தத் தகுந்தவை.
| Where you see the label | What the label promises | What actually blocks |
|---|---|---|
| Android VPN profile | Always-on VPN | Block connections without VPN |
| Android device policy | Always-on package | lockdownEnabled flag |
| Windows built-in VPN | Always On tunnel | Outbound firewall rules |
| WireGuard for Windows | Tunnel service | Block untunneled traffic option |
| wg-quick on Linux | Route via AllowedIPs | Your own nftables or iptables rules |
தடுக்காத லேபிளுக்கு Windows மிகத் தெளிவான எடுத்துக்காட்டு. அங்கு Always On சுரங்கத்தின் நிலைத்தன்மையை விவரிக்கிறது: இயந்திர அங்கீகாரத்திற்கான சாதனச் சுரங்கம் மற்றும் உள்நுழைந்த கணக்கிற்கான பயனர் சுரங்கம், சுயவிவர XML அல்லது Add-VpnConnection வழியாக அமைக்கப்படுகிறது. சுரங்கம் இல்லாதபோது வெளியேறும் பொதியை நிறுத்த எதுவும் அந்த சுயவிவரத்தில் இல்லை, வெளிச்செல் வடிகட்டுதல் இயல்பாக இயக்கப்படவில்லை, எனவே Wi-Fi-இல் உள்ள மடிக்கணினி VPN கீழே இருந்தாலும் வேலை செய்கிறது.
WireGuard அதே வழியில் பிரிகிறது, ஆனால் client வாரியாக. WireGuard for Windows-இல் ஒவ்வொரு சுரங்கத்திற்கும் வடிகட்டி விதிகளை நிறுவும் Block untunneled traffic விருப்பம் உள்ளது; Linux கருவிகளில் அத்தகைய சுவிட்ச் இல்லை. wg-quick ஒவ்வொரு AllowedIPs உள்ளீட்டிற்கும் ஒரு வழித்தடத்தையும் fwmark விதியையும் சேர்க்கிறது, wg-quick down இரண்டையும் நீக்குகிறது, எனவே இயற்பியல் இயல்புநிலை வழித்தடம் ஒரு பொதி கூட விழாமல் மீண்டும் பொறுப்பேற்கிறது.
Apple தளங்களில் always-on மேற்பார்வையிடப்பட்ட சாதனங்களுக்கான நிர்வாக சுயவிவர அம்சமாக வருகிறது, தேர்வுப்பெட்டியாக அல்ல, on-demand விதிகளாக வெளிப்படுகிறது. payload-இலிருந்து பதிலளிக்க வேண்டிய கேள்வி என்னவென்றால், தோல்வியடைந்த சுரங்கம் போக்குவரத்தை மறுக்கிறதா அல்லது வேறு இணைப்பை மட்டும் கேட்கிறதா என்பது. மெனு தலைப்பு அதைச் சொல்லாது.
சோதனை 3: சின்னத்தை அல்ல, இடைவெளியை அளவிடுங்கள்
நான்கு மாற்றங்கள் முக்கியம், அவை வெவ்வேறு விதங்களில் தோல்வியடைகின்றன: யாரும் உள்நுழைவதற்கு முன் துவக்கம், உறக்கம் மற்றும் விழிப்பு, Wi-Fi-இலிருந்து மொபைல் தரவுக்கு மாறுதல், மற்றும் சுரங்க இடைமுகத்தை பாதி உள்ளமைக்கப்பட்டதாக விட்டுச் செல்லும் client செயலிழப்பு. அவற்றில் ஒன்றில் சுத்தமான மறுஇணைப்பு மற்ற மூன்று பற்றி எதையும் நிரூபிக்காது.
மலிவான சோதனை வேண்டுமென்றே சுரங்கத்தை நிறுத்தி பின்னர் வெளியேற முயற்சிக்கிறது. சுரங்கம் கீழே இருக்கும்போது curl -m 5 -sS -o /dev/null -w '%{http_code}' https://example.com 200 திருப்பினால் கொள்கை fail-open என்பது பொருள்; நேரம் முடிவது அல்லது மறுக்கப்பட்ட இணைப்பு என்பது ஏதோ இன்னும் தடுக்கிறது என்பது பொருள். ip route get 1.1.1.1 பொதியை எடுத்துச் செல்லும் இடைமுகத்தைப் பெயரிடுகிறது, இது பொதுவாக tray சின்னத்தை விட அதிக தகவல் தருகிறது, systemctl status wg-quick@wg0 இடைமுகம் சுத்தமாக நீக்கப்பட்டதா எனக் காட்டுகிறது.
அதே சோதனையை பிணையம் மாறிக்கொண்டிருக்கும்போது இரண்டாவது சாளரத்தில் இயக்குங்கள், அது நிலைபெற்ற பிறகு மட்டும் அல்ல. விழுதல் மற்றும் மறுமுயற்சிக்கு இடையிலான இடைவெளியே முக்கியம், மேலும் பெயர் தீர்வு போக்குவரத்து தப்பியதைக் கவனிக்கும் வேகமான வழி: சுரங்கம் கீழே இருக்கும்போது உள்ளூர் தீர்வி பதிலளித்தால், தடுப்பு முழுமையில்லை.
சோதனை 4: பூட்டுவதற்கு முன் விதிவிலக்குகளை முடிவு செய்யுங்கள்
இரண்டு விதிவிலக்குகள் கட்டமைப்புரீதியானவை. client தானே VPN சேவையகத்தை அடைய வேண்டும், எனவே எல்லாவற்றையும் விழுத்தும் விதித்தொகுப்பு பாதுகாப்பை மீட்டெடுக்கும் மறுஇணைப்பையும் தடுக்கிறது. Captive portal-ஐயும் உயராத சுரங்கம் வழியாக அடைய முடியாது, எனவே ஹோட்டல் Wi-Fi-இல் பூட்டப்பட்ட சாதனத்திற்கு portal-ஐத் திறக்க ஆவணப்படுத்தப்பட்ட வழி தேவை, தற்காலிகமானது அல்ல.
குறைந்தபட்ச வடிவம், முடிவுப் புள்ளி அனுமதிக்கப்பட்டு மற்ற அனைத்தும் விழுத்தப்பட்டது:
table inet vpnlock {
chain output {
type filter hook output priority 0; policy drop;
oifname "lo" accept
ip daddr 203.0.113.10 udp dport 51820 accept
oifname "wg0" accept
}
}அந்த முடிவுப் புள்ளி வரியை மாறிலியாக அல்ல, மாறியாகக் கருதுங்கள். வழங்குநர்கள் முகவரிகளை மாற்றுகிறார்கள், காலாவதியான விதிவிலக்கே வேலை செய்யும் kill switch மீண்டும் இணைக்க முடியாத சாதனமாக மாறுவதற்கான வழக்கமான காரணம். உள்ளூர் அச்சுப்பொறிகள், NAS பங்கீடுகள் மற்றும் உருவாக்கச் சேவைகள் அதே எழுதப்பட்ட பட்டியலில் இருக்க வேண்டும், இல்லையெனில் ஒவ்வொரு ஆதரவு டிக்கெட்டிலும் தனித்தனியாகக் கண்டறியப்படும்.
சோதனை 5: உண்மையில் எதை நிரூபித்தீர்கள் என்பதைப் பதிவு செய்யுங்கள்
நான்கு நிரல் அட்டவணையை வைத்து சோதனையால் நிரப்புங்கள்: நிலை, எதிர்பார்க்கப்பட்ட நடத்தை, கவனிக்கப்பட்ட நடத்தை, ஆதாரம். வரிகள் சோதனை 3-இன் மாற்றங்களும் ஒரு வேண்டுமென்ற தோல்வியும் ஆகும். கட்டளை வெளியீட்டால் நிரப்ப முடியாத வரி நீங்கள் சோதிக்காத வரி, மறுஇணைப்பு வரியைக் கடந்து துவக்க வரியில் தோல்வியடையும் சாதனம் போதுமான அளவு பொதுவானது, எனவே கூடுதல் பத்து நிமிடங்கள் மதிப்புடையவை.
இதை முடிந்தது எனச் சொல்வதற்கு முன்:
- தடுக்கும் அமைப்பு மறுஇணைப்பு அமைப்பிலிருந்து தனியானது என்பதை உறுதிப்படுத்தி அதன் மதிப்பைச் சாதனத்தில் படியுங்கள்.
- தடுப்பை எந்த அடுக்கு நடைமுறைப்படுத்துகிறது - client விருப்பம், சாதனக் கொள்கை அல்லது firewall - மற்றும் அந்த அடுக்கு எங்கே உள்ளமைக்கப்படுகிறது என்பதை அறியுங்கள்.
- தடுப்பை நிரூபிக்கும் ஒரு சோதனைக் கட்டளையை வைத்துக்கொண்டு, மாற்றத்தின் போது அதை இயக்குங்கள், பிறகு அல்ல.
- விதிவிலக்குப் பட்டியலை முடிவுப் புள்ளி உட்பட எழுதி, அதை யார் புதுப்பிக்கிறார்கள் எனக் குறிப்பிடுங்கள்.
- நிர்வகிக்கப்படும் வன்பொருளில் நடைமுறையிலுள்ள கொள்கையைத் தனியாக விடுங்கள்; தடுப்பை நீக்குவது சுரங்கத்தைச் சரிசெய்வதற்குப் பதிலாகத் தேவையை மாற்றுகிறது.