VPN güvenlik anahtarı: hangi trafiği ve ne zaman engeller
Yeniden bağlanma tüneli geri getirir; güvenlik anahtarı tünel yokken ne olacağına karar verir. Kopmayı, elle bağlantı kesmeyi, uygulamadan çıkmayı ve ağ değişimini ayrı ayrı test edin.
İki özellik aynı sözcükle anlatılır ve farklı işler yapar. Otomatik yeniden bağlanma tüneli geri getirmeye çalışır ve bu, istekler o boşlukta başarısız olurken bir saniye içinde başarabilir. Güvenlik anahtarı o boşlukta trafiğe ne olacağına karar verir. İkisini tek bir ayarmış gibi okumak, insanların politika yerine simgeye güvenmesiyle sonuçlanır.
Engelleme ve yeniden bağlanma ayrı kararlardır
Bir istemci yalnızca kopma beklenmedik olduğunda engeller, sonra yeniden bağlanır ve engeli kaldırır. Bir diğeri biri ayarı elle değiştirene kadar sistem düzeyinde engel tutar, üçüncüsü ise kasıtlı bağlantı kesmeyi olağan erişimi geri getirme izni sayar. Bunlar üç farklı davranıştır ve satıcının belgeleri sizin derlemenizin hangisini uyguladığını söyler.
Profil içe aktarmak bu soruyu çözmez. Aynı sunucu profili karşıt engelleme davranışına sahip iki istemciye yüklenir, çünkü profil ayarları taşır, vaadi değil. Bu nedenle masaüstündeki bir onay kutusu ile telefonda benzer etiketli bir anahtar farklı kurallar uygulayabilir. Platformunuzdaki denetimin yanındaki açıklamayı okuyun, sonra ne yaptığını test edin.
Aynı profil iki istemcide farklı davranır
OpenVPN Connect uygulamasının ayarları, istemci duraklatılmış veya yeniden bağlanıyor durumunu bildirdiği sürece olağan trafiği tutan bir tünel modu tanımlar; bu, her platformda her olay için verilen genel bir vaatten daha dardır. Ürün adını değil, listelenen durumları okuyun. Bir istemci derlemesi için yazılmış açıklama başka bir satıcının istemcisine geçmez.
Android aynı sözcüğü iki denetim için gösterir, çünkü her zaman açık VPN ile VPN olmadan bağlantıları engelleme ayrı ayrı belgelenmiştir. Benzer adlı onay kutusu olan masaüstü istemcisi bunların her birinden daha dar veya daha geniş bir şey uygulayabilir. İki menüdeki ortak etiketi, iki açıklama okunana kadar tesadüf sayın. Yönetilen cihazlar üçüncü bir katman ekler, çünkü cihaz profili kullanıcının görmediği veya iptal edemediği bir ayarı dayatabilir.
Benzer görünen platform ayarları eşdeğer değildir
Gördüğünüz denetimi gerçekten geçerli olan politikayla karşılaştırın. Yönetilen bir cihazda görünen anahtar gri olabilir veya daha üst düzey bir profil tersini dayatırken açık olabilir. Yerel değil, geçerli politikayı isteyin ve yanıtı yazılı alın.
Bir şeyi test etmeden önce her katmanın ne iddia ettiğini yazın, çünkü ikisi sık sık uyuşmaz ve testler başladığında bu uyuşmazlığı kaybetmek kolaydır. Test sırasında doğru engelleyen bir cihaz, kimsenin belgelemediği bir nedenle engelliyor olabilir.
Her seferinde bir olay çalıştırın ve kodu yazın
Her çalıştırmada bir olayı test edin, zararsız bir istekle, ve her denemeyi yeni bir istek yapın, önbellekte olabilecek bir sayfa değil. Aşağıdaki komutlar tüneli indirir, bir sayfa ister ve arabirimin geri dönüp dönmediğini gösterir.
ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0Tablo her eylemi önemli gözleme ve saklamaya değer kanıta bağlar. Zaman aşımı içinde başarısız olan istek engelin devreye girdiğini söyler; geçen istek ise trafiğin başka bir yol bulduğunu söyler, bu kapatılmış engel değil hariç tutulmuş bir rota olabilir. Anlamlı bir yazılım güncellemesinden veya yönlendirme politikası değişikliğinden sonra tüm seti tekrarlayın, çünkü ikisinden biri görünen hiçbir ayar kımıldamadan dalı değiştirebilir. Sonunda istediğiniz şey öngörülebilir hata davranışıdır, rahatlatıcı bir simge değil.
| What I do | What I watch | Evidence to keep |
|---|---|---|
| Bring the tunnel down by hand | Whether a fresh request fails at once | The HTTP code and the client state at that second |
| Choose Disconnect in the client | Whether ordinary access returns on purpose | The same request succeeding with no tunnel up |
| Quit the app, then reboot | Whether the block outlives the client | A request made from a clean boot |
| Move from Wi-Fi to cellular | Whether DNS and IPv6 follow the policy | The resolver answer, the route table and the code again |
İstisnalar, konuk portalları ve engelin yapamadıkları
Yerel ağa erişim olağan istisnadır ve vaadin kapsamını değiştirir. İstemci aynı alt ağdaki yazıcıya ulaşabilirken diğer her şeyi engelleyebilir; bu evde makul, konuk ağında tartışmalıdır. Bir olay bunu sizin yerinize keşfetmeden önce bu istisnayı isteyip istemediğinize karar verin.
Katı bir engel, konuk ağının portalında oturum açmayı da zorlaştırır, çünkü portal tam olarak engelin durdurmak için var olduğu doğrudan trafiktir. Ağı yetkilendirmenin desteklenen yolunu öğrenin, sonra bir sayfa yüklenene kadar denetimleri kapatmak yerine politikayı bilinçli olarak geri getirin. Çözümleyicinin yanıtını ve yönlendirme tablosunu aşağıdaki gibi aynı notta tutun. Güvenlik anahtarının yapamayacağı şey hizmeti anonim kılmaktır, çünkü tünelin dışındaki trafiği engellemek içinde ne olduğu hakkında hiçbir şey söylemez.
resolvectl query example.com
ss -tunp | grep -v tun0