Waarom lys Little Snitch die blaaier steeds onder 'n VPN?

Jy skakel die VPN aan, maak Little Snitch oop, en die blaaier is reg daar met 'n verbinding na 'n werf wat jy gedink het deur die tonnel gaan. Daardie inskrywing is op sigself nie bewys van 'n lek nie. 'n Plaaslike monitor rapporteer watter proses 'n sokkie op hierdie masjien oopgemaak het, en die blaaier het dit oopgemaak; die VPN-kliënt is 'n tweede proses wat daardie pakkies daarna optel. Albei stellings is terselfdertyd waar, en die skerm wys vir jou die eerste een.

Wat 'n plaaslike monitor kan en nie kan toeskryf nie

Toeskrywing gebeur by die sokkie. Die kernel weet watter proses 'n verbinding besit, so Little Snitch kan 'n inskrywing met die toepassingsnaam met hoë vertroue merk. Wat dit by verstek nie sien nie, is die buitenste verbinding wat die VPN rondom daardie verkeer bou, want dit behoort aan 'n ander proses.

Domeinname is 'n swakker sein as wat dit lyk. Vir 'n HTTPS-verbinding kan die naam van 'n DNS-soektog kom, van die bedienernaam wat tydens die handdruk aangebied word, of van 'n omgekeerde soektog van die adres, afhangende van wat die stelsel waargeneem het. Niks daarvan vereis dat die bladsy ontsleutel word nie, en niks daarvan bewys waar die grepe daarna heen gegaan het nie.

Die blaaier-inskrywing antwoord dus wie, nie waar nie. Behandel dit as toeskrywingsdata en kry die waar uit 'n ander aansig.

Stap een: begin met 'n leë venster eerder as om geskiedenis te rol

Ou inskrywings kan jou nie vertel wat die huidige konfigurasie doen nie. Skakel die tydfilter na Van nou af, of druk Command-K, sodat die venster net verbindings wys wat ná daardie oomblik verskyn.

Doen dan presies een skadelose ding in die toepassing wat jy ondersoek, soos om 'n bladsy te laai wat jy mag laai. Een aksie, een oomblik, sodat die inskrywings wat verskyn sonder raaiwerk daaraan gekoppel kan word. Wag 'n sekonde of twee nadat dit klaar is, want 'n bladsy-laai lewer 'n uitbarsting verbindings eerder as 'n enkele een. Om die lys te lees terwyl dit nog vul, waarborg dat jy die volgorde verkeerd sal beoordeel.

Voordat jy die resultaat lees, kyk of 'n soekveld of 'n statusfilter die lys vernou. 'n Filter wat van 'n vroeëre sessie oorgebly het, is die mees algemene rede waarom 'n verbinding lyk of dit ontbreek wanneer dit net versteek is, en dit is ook waarom twee mense wat na dieselfde masjien kyk, verskil oor wat gebeur.

Stap twee: sluit uitbreidingsverbindings in om die tonnel self te sien

Die VPN-kliënt op 'n huidige macOS-weergawe is gewoonlik 'n netwerkuitbreiding eerder as 'n gewone app. Skakel Wys netwerkuitbreidings in die Monitor aan, en die verbindings wat daardie uitbreiding maak, word saam met alles anders sigbaar.

Nou kan die twee lae saam gelees word. Die blaaier is die oorsprong van die versoek, en die uitbreiding is die vervoer wat dit dra. Om albei te sien is normaal en verwag; om net die uitbreiding te sien beteken gewoonlik die aansig is gefiltreer, terwyl om net die toepassing te sien gewoonlik beteken die uitbreidingsaansig is af.

Geen aansig alleen inventariseer die hele pad nie. Roetereëls, DNS-gedrag en enige uitsonderings per app lê buite die verbindingslys, so 'n volledige antwoord vereis dat dit afsonderlik nagegaan word.

Stap drie: onderskei 'n werklike direkte verbinding van 'n skermeffek

As jy vermoed 'n spesifieke bestemming gaan direk uit, noem daardie bestemming en ondersoek dit op sy eie. Kyk na die VPN-kliënt se eie roete- en blokkeringskonfigurasie vir daardie gasheer of app, en bevestig of dit veronderstel is om uitgesluit te word.

Wat jy nie moet doen nie, is om elke sigbare blaaier-inskrywing as reaksie te blokkeer. Die blaaier moet steeds sy verbindings maak, en om hulle in die monitor te blokkeer herlei hulle nie in die tonnel in nie; dit stop hulle net. Dit verander 'n diagnostiese vraag in 'n onderbreking. As 'n reël nodig lyk, beperk dit tot die een bestemming wat jy kan regverdig, met 'n nota oor waarom dit bestaan.

Dieselfde versigtigheid geld vir die domeinkolom. 'n Naam wat jou verras, kan 'n gedeelde gasheernaam wees, 'n eindpunt vir inhoudlewering, of 'n soektog wat gebeur het voordat die tonnel opgekom het, en om dit as bewys van 'n lek te behandel, lei tot reëls wat werkende verkeer breek.

Stap vier: hou die aansig en die reël apart

Elke verandering in hierdie oefening verander wat die monitor wys. Niks daarvan verander wat die vuurmuur toelaat nie, en niks daarvan skuif verkeer in of uit die tonnel nie.

Wanneer jy klaar is, sit die filters terug in 'n toestand wat jy kan verduidelik, sodat die volgende persoon wat die venster oopmaak nie 'n aansig lees wat jy agtergelaat het nie. As die vraag was of 'n bestemming deur die tonnel gaan, antwoord dit uit die roete- en uitsluitingsinstellings, en gebruik dan die monitor om die resultaat te bevestig eerder as om daarna te raai.