Bölünmüş tunel: quraşdırdığınız VPN-dən kənarda keçid niyə açılır
Marşrutlaşdırma soketi açan prosesi izləyir, sizə keçidi göstərən tətbiqi deyil. İstisnalarınızı genişlətməzdən əvvəl hansı proqramın qoşulduğunu sübut edin.
Tətbiqi tuneldən keçirmək həmin tətbiqin işə saldığı hər şeylə birlikdə marşrutlaşdırmanı daşımaq demək deyil, baxmayaraq ki interfeys bunun əksini təklif edir. Keçid sorğunu başqa proqrama ötürür, o proqram öz soketini açır və platforma qaydaları mətni göstərən prosesə deyil, yeni prosesə tətbiq edir. Tunel siyasətinin həqiqətən gördüyü ikinci prosesdir və o, sizin quraşdırdığınız proses deyil.
Buna görə daxil edilmiş tətbiq tuneldən kənarda duran brauzeri aça bilər. Xaric edilmiş brauzer işi içəridə duran tətbiqə qaytara bilər. Bu sürprizin hər iki istiqaməti adi davranışdır.
İş axınının heç kimin quraşdırmadığı hissəsi
Tətbiq üzrə siyasət icra olunan fayl və ya paket kimliyinə görə yazılır və hər bağlantı yaradıldığı anda qiymətləndirilir. Brauzer, sənəd baxıcısı, media pleyeri və sistemin paylaşma vərəqi hər biri öz kimliyini daşıyır və hər biri öz hökmünü alır. Dərin keçid siyasət deyil, verilən daşıyır.
Buna görə müşahidə ixtiyari görünür: eyni klik onu hansı işləyicinin cavablandırmasından asılı olaraq iki cür yönəlir. Tuneldən keçən poçt klienti keçidi tuneldən kənarda yaşayan brauzerdə açır və səhifə ev ünvanınızdan yüklənir. Tuneldən kənarda olan brauzer sənədi içəridə yaşayan baxıcıda açır və fayl çıxışdan gəlir. Nəticələrin heç biri klientdə qüsur deyil.
Artıq işləyən işləyici işi pisləşdirir. Brauzer artıq açıqdırsa, keçid mövcud prosesə mesaj çevrilir və həmin proses başladığı zaman hansı marşrutlaşdırmaya malik idisə onu saxlayır. İşləyicini bağlayıb yenidən açmaq nəticəni dəyişir, buna görə problem heç vaxt tələb üzrə təkrarlanmır.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Bağlantını həqiqətən hansı proses qurdu
Hökm yürütmək əvəzinə qəbul edən tərəfi ölçün. Tuneli açıq saxlayın, zərərsiz bir keçidə klikləyin və yeni proqramın saxladığı soketlərə baxın.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
Birinci əmr Linuxda hər qurulmuş soketin arxasındakı prosesi adlandırır, ikincisi Windowsda sahib proses identifikatorunu həll edərək eyni şeyi edir. Proses adını siyasətinizdəki adlarla müqayisə edin. Əgər ad brauzerdirsə və brauzer xaric edilibsə, klik tuneldən qüsur üzündən deyil, dizayn üzündən çıxıb. Siyasət qaydasını canlı soketlə uyğunlaşdırmaq bütün üsuldur.
Yoxlamanı işləyici artıq işləyərkən, sonra da bağlı halda təkrarlayın. İki nəticə fərqlənə bilər və bu fərq tuneldən qaçan keçidlər barədə aralıq hesabatların çoxunu izah edir.
Əhatə iş axınının xassəsidir
Əgər tapşırıq başdan sona tunelin içində qalmalıdırsa, çata bildiyi hər komponent siyasətin içində olmalıdır: başladıcı, işləyici, baxıcı və platformanın aralarına qoyduğu hər hansı broker. Daha geniş əhatə çox vaxt dürüst cavabdır və hər paylaşma hədəfini yoxlamaqdan ucuzdur.
Bir tətbiqi düzəltmək üçün sistem brokerini xaric etmək geniş yayılmış səhvdir. Brokerlər paylaşılır, buna görə xaricetmə eyni yoldan istifadə edən hər digər tətbiqin ardınca gedir, adətən heç kim həftələr sonra hesabat gələnə qədər bunu görmür. Komponenti xaric etməzdən əvvəl ondan başqa nəyin asılı olduğunu oxuyun.
Kimliyi marşrutlaşdırmadan da ayrı saxlayın. Keçid sessiya nişanı və ya hesab identifikatoru daşıya bilər, sorğunu hansı çıxışın qəbul etməsindən asılı olmayaraq. Düzgün yönləndirilmiş klik yenə də təyinat yerinə onu kimin izlədiyini dəqiq deyə bilər.
İş axınını sənədləşdirin, ilk işarə qutusunu deyil. Tapşırıq dörd proqrama yayıldıqda, üzərində dörd proqram olan diaqram trafikin hara getdiyini proqnozlaşdıran diaqramdır və tək tətbiq parametri onun yalnız bir sətridir.