Uygulama bazlı kill switch ile tüm cihaz kilidi: ne değişir
Etikete göre değil, korunan kümeye göre karar verin: hariç tutulan uygulamalar, arka plan yardımcıları ve yeni bağlantılar için ne durur ve her durum nasıl test edilir.
Uygulama bazlı kill switch dikkatli seçim gibi kulağa gelir: tünel düştüğünde yalnızca iş istemcisi ağını kaybeder, diğer her şey çalışmaya devam eder. Sonra biri fark eder: kişisel tarayıcı yine de bir sayfa yükledi, aynı paketle gelen eşitleme yardımcısı tekrar tekrar denemeye devam etti ve önbellekteki bir ad hâlâ tünele hiç dokunmamış bir adrese çözülüyordu. Özellikteki etiket ile gerçekte koruduğu bağlantı kümesi iki ayrı şeydir. Önce korunan kümeyi belirleyin, çünkü bu küme uygulama bazlı yaptırımın mı yoksa tüm cihaz kilidinin mi dürüst tanım olduğuna karar verir.
Etiketle değil, kümeyle başlayın
Uygulama bazlı politika seçilen uygulamaları korur. Cihaz kilidi daha geniş bir ağ sınırını hedefler, genellikle yerel yazdırma, yönetim trafiği veya captive portal için belgelenmiş istisnalarla. Üç soruya yanıt verene kadar iki etiket de tam değildir: hariç tutulan uygulamalara ne olur, o uygulamaların başlattığı yardımcılara ne olur ve koruma kullanılamazken açılan bağlantılara ne olur.
İstemcideki herhangi bir ayara dokunmadan önce bu yanıtları yazın. Gereksinim "bu bordro istemcisi tünel dışında internette asla konuşmasın, tarayıcım konuşabilir" ise küme küçüktür ve uygulama bazlı yaptırım uygundur. Gereksinim "bu cihazda hiçbir şey korumasız internete ulaşmasın, güncelleme hizmeti hariç" ise hiçbir uygulama bazlı politika bunu üretmez, çünkü adını vermediğiniz uygulamalar sorunun kendisidir.
Uygulama bazlı yaptırım tanımlayıcılarla eşleşir, program adlarıyla değil
Android, uygulama bazlı VPN'i paketler aracılığıyla sunar ve VpnService belgeleri bunun her zaman açık çalışma ve engellemeyle nasıl etkileştiğini açıklar. iOS, uygulama bazlı VPN'i bir yönetim profili aracılığıyla yapılandırır ve uygulamaya veya alan adına göre eşleştirir. Windows ve Linux'ta süreç bazlı yol hiç yoktur, bu yüzden aynı fikir bir programa sınırlı güvenlik duvarı kuralıyla veya sahip kullanıcıyla eşleşen bir kuralla yaklaşık olarak uygulanır.
Sınır tanımlayıcıdır ve tanımlayıcıların etrafından dolaşmak kolaydır. Bir URL'yi sistem tarayıcısına veren veya bir belgeyi görüntüleyicide açan uygulama, politikanızın hiç adını vermediği bir sürece geçer. Düşüşte sonlandırma seçeneği de paket filtresi değildir: yapılandırdığınız uygulamayı öldürür, oysa bir alt süreç, kuyruk işçisi veya tarayıcı sekmesi mevcut soketi canlı tutabilir.
Kilit, uygulama bazlı politikanın göremediğini kapsar
Tüm cihaz kilidi seçimi ortadan kaldırır. Tünele ait olmayan her giden paket düşürülür, uygulama politikanızın hiç bilmediği süreçlerin trafiği dahil. Android'de bu, her zaman açık VPN ile bağlantıları engelleme ayarının birleşimidir ve yaptırım istemci penceresinde değil, sistemde gerçekleşir. Masaüstünde bu, kalıcı bir güvenlik duvarı kuralı veya ulaşılamayan bir ağ geçidine yönelen varsayılan yoldur.
Bedeli diğer her şeyin durmasıdır, bu yüzden istisnalar sonradan akla gelen değil tasarımın parçası olur. Yerel yazıcılar, hizmet keşfi, captive portal oturumları, yönetim aracıları ve işletim sistemi güncellemeleri her biri belgelenmiş bir deliğe ihtiyaç duyar, çünkü her biri tünel kapalıyken açık kalan bir yoldur. Kilidin gücü, o listedeki en kısa madde kadardır.
DNS, IPv6 ve arka plan yardımcıları sızıntıları gizler
Korunan bir uygulamanın bir adı çözememesi, önbellekteki yanıtların veya doğrudan IP trafiğinin engellendiğini kanıtlamaz. Çözümleyici tünel dışında hâlâ erişilebilirse ad çözülür ve bağlantı başarısız olur; bu, çalışan bir kill switch gibi görünür ama değildir. Daha kötüsü, önbellekteki bir kayıt tünelin taşımadığı bir adrese işaret edebilir, böylece uygulama VPN hatası bildirirken bağlantı doğrudan dışarı çıkar.
IPv6, onu çalıştıran her platformda kendi kuralına ihtiyaç duyar, çünkü v4 için düşürme kuralı v6 yolunu kapsamaz. Mobilde, özel DNS ayarı çözümlemeyi cihaz politikasının denetlemediği şifreli bir kanala taşıyabilir. Arka plan yardımcıları ise masaüstünde olağan suçludur: sistem tepsisindeki güncelleyici veya eşitleme süreci VPN istemcisinden önce başlar ve kendi bağlantısını korur, bu yüzden değişen yolu asla görmez.
Üç uygulamayı ve iki geçişi test edin
| Test | What it proves |
|---|---|
| Included app, by name and by direct IP | the policy is applied, not just the resolver |
| Excluded app, same checks | the exclusion is intentional and documented |
| Helper or updater process | nothing inherited an older route |
| Tunnel drop, then Wi-Fi to cellular | the block survives the transition |
Her satırı iki kez, bir kez ana makine adıyla ve bir kez gerçek adresle çalıştırın, ağ sunuyorsa bir kez de IPv6 üzerinden. Geçmek, dahil edilen uygulamanın durduğu, hariç tutulanın yazdığınız gibi davrandığı ve yardımcının dışarı sızmadığı anlamına gelir. Kabul edilebilir saydığınız doğrudan davranışı kaydedin, böylece bir sonraki yönetici kasıtlı istisnayı arızadan ayırt edebilir.
Sonra sonucu uygulamaları ve koşulları adlandıran tek bir cümleyle açıklayın, örneğin: bordro istemcisinin tünel dışında yolu yoktur, tarayıcı tasarım gereği doğrudandır ve tünel kapalıyken diğer her şey durur. Bu cümleyi yazmak zorsa politika hâlâ birbiriyle savaşan iki politikadır.