คิลสวิตช์ของแอปเทียบกับคิลสวิตช์ของไฟร์วอลล์: แต่ละแบบบล็อกอะไร
คิลสวิตช์แบบหนึ่งปิดแอป อีกแบบติดตั้งตัวกรองแพ็กเก็ต ให้ไล่ตรวจสอบตามลำดับและหยุดที่ข้อแรกที่คุณตอบอย่างซื่อสัตย์ไม่ได้
คิลสวิตช์ในรายการฟีเจอร์แทบไม่บอกอะไรเลยว่าเกิดอะไรขึ้นเมื่ออุโมงค์ล่ม การใช้งานแบบหนึ่งปิดโปรเซสที่เลือก แบบอื่นติดตั้งตัวกรองแพ็กเก็ตที่ขอบระบบปฏิบัติการ และแบบที่สามเพียงพยายามเชื่อมต่อใหม่ ความแตกต่างจะปรากฏในไม่กี่วินาทีหลังความล้มเหลว ไม่ใช่บนหน้าจอตั้งค่า ให้ไล่ตรวจสอบเหล่านี้ตามลำดับและหยุดที่ข้อแรกที่คุณตอบอย่างซื่อสัตย์ไม่ได้ เพราะนั่นคือจุดสิ้นสุดของความคุ้มครองจริงของคุณ
ตั้งชื่อกลไกบังคับใช้ก่อน
การสิ้นสุดโปรเซสเป็นคุณสมบัติของวงจรชีวิตแอปพลิเคชัน มันค้นหาโปรแกรมที่เลือกหลังตรวจพบความล้มเหลวของอุโมงค์และปิดโปรแกรมเหล่านั้น ทุกสิ่งที่ไม่ใช่โปรเซสหลักยังคงอยู่ บริการช่วยเหลือ การซิงค์เบื้องหลัง และแอปพลิเคชันใดที่เริ่มในอีกหนึ่งวินาทีถัดมา ต่างมีวงจรชีวิตและจังหวะเวลาของตนเอง
การกรองแพ็กเก็ตเป็นคุณสมบัติของระบบปฏิบัติการ มันปฏิเสธทราฟฟิกที่ไม่อยู่ในเส้นทางที่อนุญาต ซึ่งเป็นคำมั่นที่แข็งแรงกว่า แต่เฉพาะขอบเขตที่กฎครอบคลุมจริงเท่านั้น ตระกูลที่อยู่ อินเทอร์เฟซ แอปพลิเคชันที่ยกเว้น และข้อยกเว้น เป็นตัวกำหนดสิ่งนั้น ไม่ใช่ป้ายกำกับในไคลเอนต์
การบล็อกอยู่ได้นานกว่าไคลเอนต์หรือไม่
ถามสี่คำถามตามลำดับนี้: เกิดอะไรขึ้นเมื่อโปรแกรมพัง เมื่อปิดด้วยมือ เมื่อออกจากระบบ และเมื่อรีบูต กฎที่ไคลเอนต์ดูแลเองมักถูกลบเมื่อปิดอย่างเรียบร้อยและบ่อยครั้ง ยังคงค้างอยู่หลังโปรแกรมพัง กฎที่ติดตั้งในที่เก็บของแพลตฟอร์มอาจทำงานตรงกันข้าม คืออยู่ได้ทั้งไคลเอนต์และบางครั้งก็อยู่ได้แม้ถอนการติดตั้ง
ปิดไคลเอนต์กลางการดาวน์โหลดยาว แล้วดูว่าการถ่ายโอนหยุดหรือดำเนินต่อ
มองหารูรั่วมาตรฐาน
IPv6 คือข้อแรก กฎที่เขียนสำหรับที่อยู่ IPv4 ปล่อยให้ทราฟฟิก IPv6 ไม่ถูกแตะต้อง และไคลเอนต์จำนวนมากเขียนเพียงครึ่ง v4 ข้อที่สองคืออินเทอร์เฟซ การแชร์อินเทอร์เน็ตทาง USB อะแดปเตอร์ Wi-Fi ตัวที่สอง และโมเด็มเซลลูลาร์อาจไม่รวมอยู่ในกฎที่จำกัดเฉพาะการเชื่อมต่อหลัก แอปพลิเคชันที่ยกเว้น และข้อยกเว้นเครือข่ายท้องถิ่นคือข้อที่สาม
บน Windows คุณอ่านกฎที่ติดตั้งไว้ได้แทนที่จะเชื่อสวิตช์: Get-NetFirewallRule -DisplayName '*VPN*' และ netsh wfp show filters ต่างแสดงสิ่งที่มีอยู่ บน Linux iptables -S ip6tables -S และ nft list ruleset ครอบคลุมกรณีทั่วไป และการเปรียบเทียบทั้งสามคือประเด็นสำคัญ
DNS คือจุดรั่วตามปกติ
การบล็อก TCP ขณะที่เปิด UDP 53 ไว้ทำให้คุณได้คิลสวิตช์ที่น่าเชื่อถือมากซึ่งยังตอบทุกคำถามชื่อโฮสต์ เรื่องเดียวกันนี้เกิดเมื่อส่ง DNS ไปให้ตัวแก้ไขบนอินเทอร์เฟซอื่น หรือเมื่อไคลเอนต์บล็อกเฉพาะ v4 และตัวแก้ไขเข้าถึงได้ผ่าน v6
เมื่ออุโมงค์ล่ม ให้แก้ชื่อที่รู้จักสักชื่อแล้วดูว่ามีคำตอบกลับมาหรือไม่ ถ้ากลับมา ทราฟฟิกก็ไม่ได้ถูกบล็อกทั้งหมด ไม่ว่าไอคอนสถานะจะบอกอะไร
ทดสอบการเปลี่ยนผ่าน ไม่ใช่สวิตช์
การปิด VPN จากเมนูของมันเองคือการปิดอย่างเรียบร้อย และกรณีเรียบร้อยทุกการใช้งานจัดการได้ดี การเปลี่ยนผ่านที่สำคัญคือแบบหยาบ: ฆ่าโปรเซสอุโมงค์ ดึงเครือข่ายออก ปล่อยให้เซิร์ฟเวอร์หยุดตอบ จากนั้นเริ่มคำขอและดูว่าล้มเหลวหรือใช้ลิงก์กายภาพอย่างเงียบ ๆ
ผลลัพธ์จากแล็ปท็อปเครื่องเดียวไม่ส่งต่อไปยังโทรศัพท์หรือเราเตอร์ API ของแพลตฟอร์มต่างกัน ค่าเริ่มต้นต่างกัน และบน Android ความแตกต่างชัดเจน: โหมดเชื่อมต่อตลอดเวลาพร้อมการบล็อกถูกบังคับโดยระบบไม่ใช่ไคลเอนต์ จึงยังทำงานได้เมื่อไคลเอนต์ไม่ทำงาน คำแนะนำ VPN ของ Android อธิบายการแยกนั้น
เก็บทางกลับไว้
การบล็อกระดับระบบมีโหมดล้มเหลวตรงกันข้าม ตัวกรองที่อยู่ได้นานกว่าไคลเอนต์อาจทำให้เครื่องไม่มีการเชื่อมต่อเลยหลังถอนการติดตั้ง ซึ่งเป็นการโทรขอความช่วยเหลือโดยไม่มีสาเหตุชัดเจน ก่อนเปิดคิลสวิตช์ใดที่เขียนกฎของแพลตฟอร์ม ให้บันทึกว่ามันถูกถอดออกอย่างไร และเก็บเส้นทางการซ่อมของผู้ขายไว้ในที่ที่คุณหาได้
หากคุณตอบการตรวจสอบเรื่องโปรแกรมพัง IPv6 DNS และการเปลี่ยนผ่านสำหรับไคลเอนต์ของคุณไม่ได้ ให้ถือว่าเป็นสวิตช์ระดับแอปพลิเคชันที่มีรูรั่วที่รู้อยู่แล้วและวางแผนตามนั้น