Kill switch ng app vs kill switch ng firewall: ano ang hinaharangan ng bawat isa

Ang kill switch sa isang listahan ng feature ay halos walang sinasabi tungkol sa nangyayari kapag bumagsak ang tunnel. Isang implementasyon ang nagsasara ng mga piling proseso, isa pa ang naglalagay ng mga filter ng packet sa hangganan ng operating system, at ang pangatlo ay nagtatangkang kumonekta muli. Makikita ang pagkakaiba sa mga segundo pagkatapos ng failure, hindi sa screen ng mga setting. Dumaan sa mga pagsusuring ito nang sunod-sunod at huminto sa una na hindi mo kayang sagutin nang tapat, dahil doon nagtatapos ang tunay mong saklaw.

Pangalanan muna ang mekanismo ng pagpapatupad

Ang pagtatapos ng proseso ay feature ng lifecycle ng app. Hinahanap nito ang mga piling programa pagkatapos ng natukoy na failure ng tunnel at isinasara ang mga ito. Lahat ng hindi pangunahing proseso ay nabubuhay: mga helper service, background sync, at anumang app na sinimulan makalipas ang isang segundo, may sariling lifecycle at sariling tiyempo ang bawat isa.

Ang pag-filter ng packet ay feature ng operating system. Tinatanggihan nito ang trapikong hindi sumusunod sa pinapayagang landas, na mas matibay na pangako, ngunit hanggang sa lawak na talagang tumutugma ang panuntunan. Ang pamilya ng address, interface, mga ibinukod na app at mga exception ang nagpapasya niyon, hindi ang label sa client.

Nabubuhay ba ang pagharang nang mas matagal kaysa sa client?

Magtanong ng apat na bagay sa ayos na ito: ano ang nangyayari sa crash, sa manu-manong paglabas, sa pag-log out at sa reboot. Ang panuntunang pinapanatili ng client mismo ay karaniwang tinatanggal sa maayos na pagsasara at madalas naiiwan pagkatapos ng crash. Ang panuntunang naka-install sa imbakan ng platform ay maaaring kumilos nang baliktad: mabuhay nang lampas sa client at paminsan-minsan sa pag-uninstall.

Isara ang client sa gitna ng mahabang download at tingnan kung humihinto o nagpapatuloy ang transfer.

Hanapin ang mga karaniwang butas

Ang IPv6 ang una. Ang panuntunang isinulat para sa mga address na IPv4 ay hindi ginagalaw ang trapikong IPv6, at maraming client ang sumusulat lamang ng kalahating v4. Ang pangalawa ay ang interface: ang USB tethering, ikalawang Wi-Fi adapter at cellular modem ay maaaring hindi kasama sa panuntunang limitado sa pangunahing koneksyon. Mga ibinukod na app at mga exception sa lokal na network ang pangatlo.

Sa Windows maaari mong basahin ang mga naka-install na panuntunan sa halip na magtiwala sa toggle: Get-NetFirewallRule -DisplayName '*VPN*' at netsh wfp show filters ay parehong nagpapakita ng umiiral. Sa Linux, iptables -S, ip6tables -S at nft list ruleset ay sumasaklaw sa mga karaniwang kaso, at ang paghahambing ng tatlo ang mahalaga.

Ang DNS ang karaniwang tagas

Ang pagharang sa TCP habang bukas ang UDP 53 ay nagbibigay sa iyo ng napakakumbinsing kill switch na sumasagot pa rin sa bawat tanong sa hostname. Ganoon din kapag ang DNS ay ibinigay sa isang resolver sa ibang interface, o kapag ang client ay humaharang lamang sa v4 at ang resolver ay maabot sa v6.

Habang nakababa ang tunnel, lutasin ang isang kilalang pangalan at tingnan kung may sagot na bumabalik. Kung meron, hindi ganap na hinaharangan ang trapiko, anuman ang sabihin ng status icon.

Subukan ang transisyon, hindi ang toggle

Ang pag-off ng VPN mula sa sarili nitong menu ay maayos na pagsasara, at ang maayos na kaso ay mahusay na hinahawakan ng bawat implementasyon. Ang transisyong mahalaga ay ang magaspang: patayin ang proseso ng tunnel, hilahin ang network, hayaang tumigil ang server sa pagsagot. Pagkatapos ay magsimula ng request at tingnan kung nabigo ito o tahimik na gumamit ng pisikal na link.

Ang resulta mula sa isang laptop ay hindi nalilipat sa telepono o router. Iba't ibang API ng platform, iba't ibang default, at sa Android malinaw ang pagkakaiba: ang always-on na may pagharang ay ipinapatupad ng system at hindi ng client, kaya patuloy itong gumagana kapag ang client ay hindi. Ang gabay sa VPN ng Android ay naglalarawan ng paghahati na iyon.

Magtabi ng daan pabalik

Ang pagharang sa antas ng system ay may kabaligtarang failure mode. Ang mga filter na nabubuhay nang lampas sa client ay maaaring mag-iwan ng makina na walang network sa lahat pagkatapos ng pag-uninstall, na isang tawag sa suporta na walang malinaw na dahilan. Bago paganahin ang anumang kill switch na nagsusulat ng mga panuntunan ng platform, itala kung paano ito tinatanggal, at itago ang landas ng pag-aayos ng vendor kung saan mo ito mahahanap.

Kung hindi mo kayang sagutin ang mga pagsusuri sa crash, IPv6, DNS at transisyon para sa iyong client, ituring itong switch sa antas ng app na may kilalang butas at magplano ayon doon.