VPN ทำลายการควบคุมโดยผู้ปกครองบนอุปกรณ์ของครอบครัวหรือไม่
กฎบางข้ออยู่บนเส้นทางและบางข้ออยู่บนบัญชี วัดค่าฐาน เพิ่มอุโมงค์ แล้วเปรียบเทียบว่าตัวกรองแต่ละตัวทำงานที่ไหนจริง ๆ
การควบคุมโดยผู้ปกครองไม่ใช่ผลิตภัณฑ์เดียว กฎหนึ่งข้ออาจอยู่บนเราเตอร์ ในบริการ DNS ในบัญชีระบบปฏิบัติการ ในเบราว์เซอร์ใดเบราว์เซอร์หนึ่ง หรือในทุกแอปพลิเคชัน VPN เปลี่ยนสิ่งที่เส้นทางเครือข่ายมองเห็น และไม่เปลี่ยนอะไรเลยในขีดจำกัดเวลาระดับบัญชี ทำการตรวจเดียวกันก่อนและหลังเพิ่มอุโมงค์ แล้วการแบ่งแยกจะปรากฏให้เห็นแทนที่จะเป็นเรื่องโต้แย้ง
จดไว้ว่ากฎข้อไหนอยู่ที่ไหน
เริ่มด้วยรายการ: อุปกรณ์ บัญชี เบราว์เซอร์ และแอปพลิเคชัน จากนั้นคือกลไกที่บังคับใช้แต่ละข้อกำหนด ขีดจำกัดเวลามักอยู่ในบัญชีของแพลตฟอร์ม ข้อจำกัดการติดตั้งและการซื้อก็อยู่ที่นั่นเช่นกัน การกรองเนื้อหาเป็นข้อที่คลุมเครือ เพราะอาจเป็นกฎของเราเตอร์ คำตอบ DNS นโยบายเบราว์เซอร์ หรือคุณสมบัติระดับแอปพลิเคชัน แต่ละอย่างทำงานต่างกันเมื่อปริมาณการรับส่งข้อมูลถูกห่อหุ้ม
| Mechanism | Where it operates | What a tunnel changes |
|---|---|---|
| Router or DNS filter | The network path or the resolver | Hides destinations and queries inside the tunnel |
| OS account limits | The device and the signed-in account | Nothing about the internet exit |
| Browser policy | A specific browser under a managed account | Depends on whether that browser uses the tunnel |
| App-level restriction | The application itself | Usually independent of routing |
รายการที่ทำก่อนการเปลี่ยนแปลงเป็นวิธีเดียวที่จะแยกความถดถอยออกจากสิ่งที่ไม่เคยทำงานเลย
วัดค่าฐานก่อนติดตั้งอะไรก็ตาม
จดไว้ว่าตัวแก้ชื่อใดตอบ เส้นทางใดที่ปลายทางธรรมดาใช้ และหน้าเว็บที่รู้ว่าถูกบล็อกนั้นถูกบล็อกจริงหรือไม่ จากนั้นทำการสังเกตสามข้อเดิมซ้ำ ตามลำดับเดิม บนอุปกรณ์เดิม
resolvectl status | head -20
ip route get 203.0.113.10
dig +short example.comผลลัพธ์ของตัวแก้ชื่อแสดงว่าอุปกรณ์ใช้ DNS ของเราเตอร์หรือตัวแก้ชื่อส่วนตัวที่ตั้งค่าไว้บนอุปกรณ์ รายละเอียดเดียวนี้อธิบายความประหลาดใจส่วนใหญ่ เพราะอุปกรณ์ที่ใช้ตัวแก้ชื่อแบบเข้ารหัสของตัวเองจะไม่ถามตัวกรองของบ้านเลย เก็บข้อกำหนดจริงของบ้านเป็นภาษาง่าย ๆ ไว้ข้างผลลัพธ์แต่ละรายการ «ไม่ใช้โซเชียลมีเดียหลังสามทุ่ม» กับ «เราเตอร์นี้บล็อกรายการโดเมน» เป็นข้อกำหนดต่างกันที่มีเจ้าของต่างกัน และอุโมงค์มีผลต่อเพียงข้อเดียวในนั้น
ทำการตรวจเดิมซ้ำขณะอุโมงค์ทำงาน
หลังจากเชื่อมต่ออุโมงค์แล้ว ให้ทำการตรวจตัวแก้ชื่อและเส้นทางซ้ำ หากตัวแก้ชื่อเปลี่ยนไปเป็นแบบส่วนตัว การกรองของเราเตอร์ก็ไม่อยู่บนเส้นทางอีกต่อไป แม้อุปกรณ์จะยังอยู่ในเครือข่ายของบ้าน
resolvectl status | head -20
ip route get 203.0.113.10
curl -sS -o /dev/null -w '%{http_code}\n' https://example.comเส้นทางที่ผ่านอุโมงค์ในตอนนี้อธิบายการสูญเสียการกรองของเราเตอร์ โดยไม่ได้หมายความว่าขีดจำกัดของบัญชีหยุดทำงาน ตรวจขีดจำกัดของบัญชีแยกต่างหาก โดยอ่านจากตั้งค่าของแพลตฟอร์มเองแทนการอนุมานจากหน้าที่ถูกบล็อก ผลลัพธ์ของเบราว์เซอร์ก็ต้องการความระมัดระวังแบบเดียวกัน ตัวกรองที่ใช้กับบัญชีเด็กที่ลงชื่อเข้าใช้ในเบราว์เซอร์เดียวไม่บอกอะไรเกี่ยวกับเบราว์เซอร์อื่นหรือแอปพลิเคชันเดสก์ท็อปที่เปิดนอกเบราว์เซอร์นั้น
แก้ไขความขัดแย้งแทนการปิดสิ่งต่าง ๆ
ผลิตภัณฑ์สองตัวที่ต่างก็ต้องการเป็นเจ้าของส่วนขยายเครือข่ายของอุปกรณ์อาจขัดแย้งกัน และอาการที่พบบ่อยคือตัวหนึ่งปฏิเสธที่จะเชื่อมต่อ การถอดการป้องกันออกเพื่อให้อุโมงค์ทำงานเป็นทิศทางที่ผิด อ่านบันทึกความเข้ากันได้ของผู้จำหน่ายทั้งสองรายและเลือกการจัดวางที่คงข้อกำหนดไว้ บางครั้งนั่นหมายถึงการย้ายตัวกรองไปยังชั้นอื่น เช่น โปรไฟล์อุปกรณ์ที่ได้รับการจัดการ แทนที่จะเรียกใช้แอปสองตัวที่แย่งตะขอเดียวกัน
หากแหล่งข้อมูลโรงเรียนหรือการทำงานที่ชอบด้วยกฎหมายถูกบล็อก ให้มอบเส้นทางอนุมัติที่มีเอกสารให้ผู้ดูแลบ้าน ข้อยกเว้นที่มีเหตุผลและวันทบทวนนั้นดูแลได้ แต่การเปลี่ยนแปลงเครือข่ายแบบเฉพาะกิจกองหนึ่งทำไม่ได้
เก็บบันทึกให้เล็กและเป็นปัจจุบัน
หน้าเดียวก็พอ: อุปกรณ์ บัญชี กลไกใดบังคับใช้กฎใด และวันที่ตรวจครั้งล่าสุด ทำการตรวจซ้ำหลังการอัปเดตแอปครั้งใหญ่ เพราะส่วนขยายเครือข่ายและนโยบายเบราว์เซอร์เคลื่อนย้ายระหว่างเวอร์ชัน
เขียนบันทึกสำหรับคนที่จะแก้ปัญหานี้ในอีกหกเดือน ซึ่งอาจเป็นตัวคุณเองหลังจากลืมทุกรายละเอียด ระบุชื่อกลไกไม่ใช่ผลิตภัณฑ์ แล้วบันทึกจะยังมีความหมายหลังการเปลี่ยนชื่อ