Công tắc an toàn VPN: chặn luồng dữ liệu nào và khi nào

Hai tính năng được mô tả bằng cùng một từ và làm việc khác nhau. Kết nối lại tự động cố đưa đường hầm trở lại, và nó có thể thành công trong một giây trong khi các yêu cầu thất bại trong khoảng trống đó. Công tắc an toàn quyết định điều gì xảy ra với lưu lượng trong khoảng trống đó. Đọc ứng dụng khách như thể hai thứ là một cài đặt là cách người ta cuối cùng tin vào một biểu tượng thay vì một chính sách.

Chặn và kết nối lại là hai quyết định riêng

Một ứng dụng khách chỉ chặn khi mất kết nối là bất ngờ, sau đó kết nối lại và gỡ chặn. Một ứng dụng khác giữ chặn ở cấp hệ thống cho đến khi có người đổi cài đặt bằng tay, và ứng dụng thứ ba coi việc ngắt có chủ đích là sự cho phép khôi phục truy cập thông thường. Đó là ba hành vi khác nhau, và tài liệu của nhà cung cấp nói bản dựng của bạn thực hiện cái nào.

Nhập một hồ sơ không quyết định câu hỏi đó. Cùng một hồ sơ máy chủ được nạp vào hai ứng dụng khách có hành vi chặn trái ngược nhau, vì hồ sơ mang cài đặt chứ không mang lời hứa. Đó cũng là lý do một ô chọn trên máy tính và một công tắc trên điện thoại có nhãn giống nhau có thể thực hiện các quy tắc khác nhau. Hãy đọc phần mô tả bên cạnh điều khiển trên nền tảng của bạn, rồi kiểm tra xem nó làm gì.

Cùng một hồ sơ hành xử khác nhau trong hai ứng dụng khách

Phần cài đặt của ứng dụng OpenVPN Connect mô tả một chế độ đường hầm chỉ giữ lưu lượng thông thường khi ứng dụng khách báo trạng thái tạm dừng hoặc đang kết nối lại, hẹp hơn một lời hứa chung về mọi sự kiện trên mọi nền tảng. Hãy đọc các trạng thái được liệt kê, không phải tên sản phẩm. Một mô tả viết cho một bản dựng ứng dụng khách không chuyển sang ứng dụng khách của nhà cung cấp khác.

Android hiển thị cùng một từ cho hai điều khiển, vì VPN luôn bật và việc chặn kết nối không có VPN được ghi tài liệu riêng. Một ứng dụng khách trên máy tính có ô chọn tên tương tự có thể thực hiện điều gì đó hẹp hơn hoặc rộng hơn cả hai. Hãy coi nhãn dùng chung trong hai menu là sự trùng hợp cho đến khi đọc xong cả hai mô tả. Thiết bị được quản lý thêm một lớp thứ ba, vì hồ sơ thiết bị có thể áp đặt một cài đặt mà người dùng không thấy và không thể hủy.

Cài đặt nền tảng trông giống nhau không tương đương

So sánh điều khiển bạn thấy với chính sách thực sự có hiệu lực. Trên thiết bị được quản lý, công tắc hiển thị có thể bị làm mờ, hoặc có thể đang bật trong khi hồ sơ cấp cao hơn áp đặt điều ngược lại. Hãy yêu cầu chính sách hiệu lực chứ không phải chính sách cục bộ, và nhận câu trả lời bằng văn bản.

Ghi lại mỗi lớp tuyên bố điều gì trước khi kiểm tra bất cứ thứ gì, vì hai bên thường không khớp nhau và sự không khớp đó dễ mất đi khi các bài kiểm tra bắt đầu. Một thiết bị chặn đúng trong bài kiểm tra có thể đang chặn vì lý do mà không ai ghi lại.

Chạy một sự kiện mỗi lần và ghi lại mã

Kiểm tra một sự kiện mỗi lần chạy, với một yêu cầu vô hại, và biến mỗi lần thử thành một yêu cầu mới thay vì một trang có thể đã nằm trong bộ nhớ đệm. Các lệnh bên dưới hạ đường hầm xuống, yêu cầu một trang và cho biết giao diện có trở lại hay không.

ip link set tun0 down
curl -s -o /dev/null -w "%{http_code}\n" --max-time 5 https://example.com
ip -brief address show tun0

Bảng ánh xạ mỗi hành động với quan sát quan trọng và bằng chứng đáng lưu giữ. Một yêu cầu thất bại trong thời gian chờ cho biết chặn đã hoạt động; một yêu cầu đi qua cho biết lưu lượng đã tìm thấy đường khác, có thể là tuyến bị loại trừ chứ không phải chặn bị tắt. Lặp lại toàn bộ bộ kiểm tra sau một bản cập nhật phần mềm quan trọng hoặc thay đổi chính sách định tuyến, vì cả hai đều có thể đổi nhánh mà không có cài đặt hiển thị nào dịch chuyển. Cuối cùng bạn muốn hành vi lỗi có thể dự đoán, không phải một biểu tượng làm yên lòng.

Ngoại lệ, cổng mạng khách và điều việc chặn không thể làm

Truy cập mạng cục bộ là ngoại lệ phổ biến, và nó thay đổi phạm vi của lời hứa. Ứng dụng khách có thể tới máy in trong cùng mạng con trong khi chặn mọi thứ khác, điều hợp lý ở nhà và đáng ngờ trên mạng khách. Hãy quyết định xem bạn có muốn ngoại lệ đó không trước khi một sự cố phát hiện nó thay bạn.

Chặn nghiêm ngặt cũng khiến việc đăng nhập vào cổng mạng khách trở nên khó khăn, vì cổng chính là lưu lượng trực tiếp mà việc chặn tồn tại để dừng lại. Hãy học cách được hỗ trợ để cho phép mạng, rồi khôi phục chính sách một cách có chủ đích thay vì tắt các điều khiển cho đến khi một trang tải xong. Giữ câu trả lời của trình phân giải và bảng tuyến trong cùng một ghi chú, như bên dưới. Điều công tắc an toàn không thể làm là làm dịch vụ trở nên ẩn danh, vì chặn lưu lượng ngoài đường hầm không nói gì về điều xảy ra bên trong nó.

resolvectl query example.com
ss -tunp | grep -v tun0