Чи блокує kill switch трафік до запуску VPN-програми?

Kill switch може покривати або не покривати проміжок до запуску своєї програми, і різницю визначає політика операційної системи, а не маркетингова сторінка клієнта. Прапорець автозапуску доводить, що щось заплановано запустити. Він не доводить, що правила блокування існують у момент, коли мережа піднімається. Це дві події, і лише одна з них захищає трафік.

Пройдіть контрольний список по порядку, бо кожен крок звужує те, що ви насправді перевіряєте.

Звідки насправді береться блокування

Є дві родини реалізацій. Або платформа встановлює блокування, бо знає про тунель до запуску будь-якої програми, або клієнт сам встановлює блокування після запуску. Перша може існувати до входу в систему. Друга не може існувати раніше за свій процес, хоч би як рано цей процес було заплановано. Визначте, на яку родину ви спираєтеся, перш ніж щось перевіряти.

На Android постійно ввімкнений VPN разом із налаштуванням блокування з'єднань без VPN — це політика платформи, яка налаштовується в системних параметрах, а не лише всередині клієнта. На керованих пристроях її можуть задати за вас. Клієнт, який просто стартує під час завантаження, — це не той самий механізм.

Відокремте проміжок від служби

Закритий проміжок не доводить, що примусове застосування припинилося, а відкритий проміжок не доводить, що тунель готовий. Багато клієнтів розділяють інтерфейс, демон і програму в лотку. Лоток — це те, що ви бачите; демон — це те, що тримає правила.

Перевіряйте компонент, а не піктограму.

Перевіряйте інтервал запуску безпечно

Інтервал для перевірки починається під час перезавантаження або входу і завершується, коли тунель автентифікується. Фонові програми підключаються в цей період, і перевірки оновлень — звичайні порушники. Використовуйте нешкідливу активність і документовану процедуру постачальника замість того, щоб блокувати власний доступ. Потім повторіть після звичайного повторного підключення, бо шлях повторного підключення і шлях холодного старту виконують різний код.

Тест, виконаний після того, як тунель уже піднято, нічого не доводить про запуск.

Прочитайте поведінку під час перезавантаження, якщо потрібна стійкість. Налаштування може зберігатися в конфігурації, доки його застосування починається пізніше, і обидва факти важливі: збережена політика і момент, коли вона стає активною.

Читайте політику для кожної платформи

Android показує постійно ввімкнений режим і блокування як окремі перемикачі, і обидва мають бути ввімкнені для захисту до запуску. У Windows є концепція постійно ввімкненого тунелю пристрою, налаштованого через політику, що не те саме, що клієнт у користувацькому режимі, який запускається рано. OpenVPN Connect документує власну поведінку kill switch для кожної платформи, і саме задокументований обсяг ви й перевіряєте. Не переносьте назву налаштування з однієї системи в іншу і не припускайте, що сенс переїхав разом із нею.

Профіль, який вимагає інтерактивний пароль, має інші залежності запуску, ніж тунель машини.

Що записувати

Запишіть, який механізм діє, на якому етапі він стає активним і який трафік було випробувано до цього етапу. Зафіксуйте версію платформи, бо ця поведінка змінюється між випусками та між керованими й особистими конфігураціями. Зауважте, кому належить політика — клієнту чи системі, оскільки це визначає, хто може усунути прогалину. Потім перевірте знову після будь-якого оновлення клієнта або ОС.

Якщо прогалина важлива, стійке рішення — політика платформи, а не коротша затримка запуску.

Це відповідь на початкове питання, сформульована як умова: kill switch захищає трафік до запуску програми лише тоді, коли блокування встановлює щось, що існує до програми.