Har bir ilova uchun kill switch yoki butun qurilmani bloklash: nima o'zgaradi
Yorliq emas, himoyalangan to'plamga qarab qaror qiling: chiqarib tashlangan ilovalar, fon yordamchilari va yangi ulanishlar uchun nima to'xtaydi va har bir holatni qanday sinash kerak.
Har bir ilova uchun kill switch ehtiyotkor tanlov kabi eshitiladi: tunnel qulaganda tarmoqni faqat ish mijozi yo'qotadi, qolgan hammasi ishlashda davom etadi. Keyin kimdir payqaydi: shaxsiy brauzer baribir sahifa yukladi, o'sha to'plam bilan kelgan sinxronlash yordamchisi qayta-qayta urinishda davom etdi va keshdagi nom hali ham tunnelga hech qachon tegmagan manzilga yechilardi. Funksiyadagi yorliq va u haqiqatan himoya qiladigan ulanishlar to'plami ikki xil narsa. Avval himoyalangan to'plamni aniqlang, chunki aynan shu to'plam har bir ilova bo'yicha ijro yoki butun qurilmani bloklash halol tavsif ekanini hal qiladi.
Yorliqdan emas, to'plamdan boshlang
Har bir ilova siyosati tanlangan ilovalarni himoya qiladi. Qurilma blokirovkasi kengroq tarmoq chegarasini nishonga oladi, odatda mahalliy chop etish, boshqaruv trafigi yoki captive portallar uchun hujjatlashtirilgan istisnolar bilan. Uch savolga javob bermaguncha hech bir yorliq to'liq emas: chiqarib tashlangan ilovalarga nima bo'ladi, o'sha ilovalar ishga tushiradigan yordamchilarga nima bo'ladi va himoya mavjud bo'lmaganda ochilgan ulanishlarga nima bo'ladi.
Mijozning biron sozlamasiga tegishdan oldin bu javoblarni yozib qo'ying. Agar talab "bu ish haqi mijozi tunneldan tashqarida internet bilan hech qachon gaplashmasin, brauzerim esa gaplashsin" bo'lsa, to'plam kichik va har bir ilova bo'yicha ijro mos keladi. Agar talab "bu qurilmada hech narsa himoyasiz internetga yetib bormasin, yangilash xizmatidan tashqari" bo'lsa, hech bir har bir ilova siyosati buni bermaydi, chunki nomini aytmagan ilovalaringiz muammoning o'zi.
Har bir ilova bo'yicha ijro identifikatorlar bilan mos keladi, dastur nomlari bilan emas
Android har bir ilova uchun VPN ni paketlar orqali taqdim etadi va uning VpnService hujjati buning doimiy yoqilgan rejim va bloklash bilan qanday ishlashini tasvirlaydi. iOS har bir ilova uchun VPN ni boshqaruv profili orqali sozlaydi va ilova yoki domen bo'yicha moslashtiradi. Windows va Linux da jarayon bo'yicha marshrut umuman yo'q, shuning uchun o'sha g'oya dastur bilan cheklangan xavfsizlik devori qoidasi yoki egasi foydalanuvchiga mos keladigan qoida bilan taxminan amalga oshiriladi.
Chegara identifikator, identifikatorlarni aylanib o'tish esa oson. URL ni tizim brauzeriga topshiradigan yoki hujjatni ko'ruvchida ochadigan ilova sizning siyosatingiz hech qachon nomlamagan jarayonga o'tadi. Qulaganda tugatish opsiyasi ham paket filtri emas: u siz sozlagan ilovani o'ldiradi, shu bilan birga bola jarayon, navbat ishchisi yoki brauzer yorlig'i mavjud soketni tirik saqlab turishi mumkin.
Bloklash har bir ilova siyosati ko'ra olmaydigan narsani qoplaydi
Butun qurilmani bloklash tanlovni olib tashlaydi. Tunnelga tegishli bo'lmagan har bir chiquvchi paket tashlanadi, jumladan ilova siyosatingiz hech qachon bilmagan jarayonlar trafigi ham. Android da bu doimiy yoqilgan VPN va ulanishlarni bloklash sozlamasining birikmasi, ijro esa tizimda bo'ladi, mijoz oynasida emas. Ish stolida bu doimiy xavfsizlik devori qoidasi yoki yetib bo'lmaydigan shlyuzga qaratilgan standart marshrut.
Narx shundaki, qolgan hamma narsa to'xtaydi, shuning uchun istisnolar keyingi o'ylangan narsa emas, dizaynning qismiga aylanadi. Mahalliy printerlar, xizmatlarni aniqlash, captive portallarga kirish, boshqaruv agentlari va OS yangilanishlari har biriga hujjatlashtirilgan teshik kerak, chunki har biri tunnel o'chirilganda ochiq qoladigan yo'l. Bloklash o'sha ro'yxatdagi eng qisqa yozuv qadar kuchli.
DNS, IPv6 va fon yordamchilari sizib chiqishni yashiradi
Himoyalangan ilovaning nomni yecha olmasligi keshdagi javoblar yoki to'g'ridan-to'g'ri IP trafigi bloklanganini isbotlamaydi. Agar hal qiluvchi tunneldan tashqarida hali ham yetib borarli bo'lsa, nom yechiladi va ulanish muvaffaqiyatsiz bo'ladi, bu ishlayotgan kill switch ga o'xshaydi va unday emas. Bundan yomoni, keshdagi yozuv tunnel olib o'tmaydigan manzilga ishora qilishi mumkin, shuning uchun ulanish to'g'ridan-to'g'ri chiqadi, ilova esa VPN xatosi haqida xabar beradi.
IPv6 uni ishga tushiradigan har bir platformada o'z qoidasini talab qiladi, chunki v4 uchun tashlash qoidasi v6 marshrutni qoplamaydi. Mobil qurilmada xususiy DNS sozlamasi hal qilishni qurilma siyosati tekshirmaydigan shifrlangan kanalga ko'chirishi mumkin. Fon yordamchilari esa ish stolida odatiy aybdor: tarnovdagi yangilovchi yoki sinxronlash jarayoni VPN mijozidan oldin boshlanadi va o'z ulanishini ushlab turadi, shuning uchun o'zgargan marshrutni hech qachon ko'rmaydi.
Uch ilova va ikki o'tishni sinang
| Test | What it proves |
|---|---|
| Included app, by name and by direct IP | the policy is applied, not just the resolver |
| Excluded app, same checks | the exclusion is intentional and documented |
| Helper or updater process | nothing inherited an older route |
| Tunnel drop, then Wi-Fi to cellular | the block survives the transition |
Har bir qatorni ikki marta ishga tushiring: bir marta xost nomi bilan va bir marta so'zma-so'z manzil bilan, tarmoq taklif qilsa yana bir marta IPv6 orqali. O'tish degani kiritilgan ilova to'xtadi, chiqarib tashlangan ilova siz yozganday harakat qildi va yordamchi tashqariga sirg'alib chiqmadi. Qabul qilinarli deb qaror qilgan to'g'ridan-to'g'ri xatti-harakatni yozib qo'ying, keyingi administrator ataylab qilingan istisnoni nosozlikdan ajrata olsin.
Keyin natijani ilovalar va shartlarni nomlaydigan bitta jumlada tasvirlang, masalan: ish haqi mijozining tunneldan tashqarida marshruti yo'q, brauzer dizayni bo'yicha to'g'ridan-to'g'ri, tunnel o'chirilganda qolgan hamma narsa to'xtaydi. Agar bu jumlani yozish qiyin bo'lsa, siyosat hali ham bir-biri bilan kurashayotgan ikki siyosat.