Рэжым SOCKS у NetGuard ахоплівае TCP, а не кожны пратакол

NetGuard займае VPN-інтэрфейс Android, каб фільтраваць трафік, і можа перадаваць падтрыманыя злучэнні на канцавы пункт SOCKS. Гэтыя два факты часта чытаюць як «тэлефон у VPN», хаця такі вывад механізм не падтрымлівае. Фільтр бачыць пакеты; проксі ж бачыць толькі тыя злучэнні, якія яму сапраўды перадалі. Паміж гэтымі двума сцвярджэннямі і стаіць усё пытанне пакрыцця.

FAQ у першакрыніцы дакументуе як абмежаванне адной паслугай, так і магчымасць SOCKS. Наяўнасць магчымасці не даказвае, што кожны дазволены пакет ёю карыстаецца, і менавіта з гэтай прагаліны паўстаюць пытанні пакрыцця.

Два шляхі перасылкі ў адным дадатку

Бок TCP у рэалізацыі змяшчае апрацоўку злучэнняў SOCKS, таму дазволенае TCP-злучэнне можа дамовіцца з проксі і быць праведзена праз яго. Бок UDP мае асобны шлях сокета, і яго апрацоўка адпраўкі і прыёму не залежыць ад гэтай дамовы TCP. Такім чынам, датаграма, якую фільтр дазваляе, можа дасягнуць звычайнай сеткі, ніколі не прайшоўшы праз проксі. Нішто ў гэтым не дэфект дадатку; гэта проста тое, што рэалізуюць два шляхі.

Гэтае адрозненне мае наступства, якое людзі перакручваюць у абодва бакі. Называць кожны UDP-пакет уцечкай — значыць ігнараваць правілы блакіроўкі, бо адхіленая датаграма ніколі не сыходзіць. Называць усю кампазіцыю VPN — значыць ігнараваць дазволены прамы шлях, бо частка трафіку сапраўды сыходзіць без проксі. То, што вы маеце, — гэта фільтраваная прылада з частковым праксіраваннем, і сумленнае апісанне — матрыца, а не ярлык.

Заявіць пра UDP — не тое самае, што рэалізаваць яго

SOCKS-сервер, які заяўляе падтрымку UDP, не дадае адпаведнай кліенцкай апрацоўкі ў дадатак на вашым тэлефоне. Тэарэтычныя магчымасці пратаколу і паводзіны ўсталяванай зборкі — розныя тэмы, і толькі другая апісвае ваш трафік.

Праверце версію і канфігурацыю, якія вы сапраўды запускаеце, затым пратэстуйце бесклапотны паток датаграм і паглядзіце, ці з'яўляецца ён на проксі. Усё астатняе — здагадка са спісу магчымасцяў, а спісы магчымасцяў апісваюць намеры, а не шляхі коду.

DNS — трэці шлях, а не дробязь

Развязанне імёнаў дадае сваю галіну ў матрыцу. Лакальны DNS-перанакіравальнік, звычайны UDP-запыт, імя хоста прызначэння, развязанае самім проксі, і шыфраваны рэзалвер у браўзеры — чатыры розныя кампазіцыі. Яны адрозніваюцца тым, хто бачыць запыт і які сеткавы шлях яго нясе, а змешванне іх дае тэст, які нічога не даказвае пра іншыя.

Свядома вырашыце, якога вы хочаце. Калі патрабаванне ў тым, каб імёны развязваліся праз тунель, адной налады браўзера не хопіць, а проксі, які сам развязвае імёны хостаў, змяняе адказ толькі для злучэнняў, якія ён сапраўды апрацоўвае.

Транспарт праз проксі не становицца прыватным аўтаматычна

Звычайны SOCKS — гэта не шыфраванае звяно ад тэлефона да проксі. Калі канцавы пункт дасягаецца праз іншы абаронены шлях, назавіце гэты шлях і яго палітыку збояў, бо адкат да адкрытай сеткі без папярэджання робіць прыватную кампазіцыю публічнай. Уласная аўтэнтыфікацыя проксі таксама важная: адкрыты слухач на агульнай прыладзе — гэта паслуга, за якую ніхто не адказвае.

Кампазіцыі паміж профілямі заслугоўваюць такога ж даследавання. VPN працоўнага профілю абараняе толькі той трафік, які ідзе па яго шляху, і суіснаванне файрвола асабістага профілю з працоўным тунелем не даказвае, што далейшае злучэнне файрвола дасягае гэтага тунелю. Правярайце дасяжнасць і аўтэнтыфікацыю, а не выказвайце здагадку, што два профілі супрацоўнічаюць.

Аўдыт пакрыцця — матрыцай, а не загрузкай старонкі

Для аўтарызаванай ацэнкі выберыце бесклапотныя прыклады, якія прадстаўляюць кожны клас, што вас цікавіць: патрэбны TCP, дазволены UDP і DNS у абодвух сямействах адрасоў. Для кожнага запішыце, ці быў ён праксіраваны, заблакаваны або адпраўлены напрамкі. Гэтая адзіная табліца і ёсць вынік, і яна значна карыснейшая за здымак экрана старонкі, якая загрузілася.

Калі патрабаванне ў тым, каб увесь выбраны трафік дадаткаў праходзіў праз аддалены тунель, выберыце рэалізацыю з яўна падтрыманымі сумеснымі фільтраваннем і тунеляваннем. Кампазіцыя з адным толькі TCP-проксі застаецца карыснай для вузкіх задач, пры ўмове што іншы трафік апрацоўваецца наўмысна, а не забыты.