Чаму раздзельнае тунеляванне не пакрывае абнаўленні вашай праграмы

Вы дадаяце праграму ў спіс выключэнняў раздзельнага тунелявання, праграма выходзіць у інтэрнэт напрамую, а абнаўленні ўсё роўна не ўсталёўваюцца або ўсё роўна ледзь цягнуцца праз тунель. Выключэнне спрацавала. Яно проста пакрыла іншы працэс, чым той, што выконвае спампоўку, бо сучасны абнаўляльнік рэдка бывае тым жа выканальным файлам, што і акно праграмы.

Міф: выключэнне праграмы выключае яе трафік

Раздзельнае тунеляванне для асобных праграм супастаўляе працэс, пакет або шлях праграмы ў залежнасці ад платформы. Яно не супастаўляе брэнд, функцыю або намер карыстальніка. Калі праграма перадае спампоўку дапаможнаму сродку, агульнай службе платформы або кампаненту браўзера, гэты дапаможны сродак мае сваю ўласную ідэнтычнасць і свой уласны шлях праз тунель. Спіс выключэнняў не мае паняцця пра тое, што два працэсы належаць да аднаго прадукту. Ён ведае толькі, які з іх вы назвалі.

Такім чынам, правіла робіць менавіта тое, што яму сказалі. Меркаванне пра тое, хто валодае перадачай, было памылковым, і выпраўленне пачынаецца з вызначэння гэтага ўладальніка, а не з дадання новых выключэнняў.

Знайдзіце ўладальніка перадачы

На Android абнаўленне можа загружацца агульным пакетам службы, а не пакетам праграмы, які вы выключылі, і правіла VPN для асобнай праграмы ужываецца да пакета, які адкрывае сокет. У Windows служба абнаўлення можа працаваць пад іншым выканальным шляхам, чым праграма, таму правіла, якое адпавядае шляху праграмы, яе не закранае. У macOS прывілеяваны дапаможны сродак або сістэмны дэман абнаўлення можа выконваць перадачу, пакуль праграма толькі запытвае яе.

Вызначце ўладальніка па доказах: прадстаўленне сеткавай актыўнасці платформы, захоп пакетаў з фільтрам па працэсе або дакументацыя пастаўшчыка, дзе названы кампанент абнаўлення. Здагадка па назве працэсу — гэта шлях да блытаніны двух падобных бінарных файлаў і выключэння няправільнага.

Сістэмы абнаўлення часта дзеляць працу. Невялікі запыт метаданых правярае версію, а значна большая спампоўка пакета ідзе на хост дастаўкі кантэнту або на іншы дамен. Праверка метаданых можа прайсці праз тунель, тады як перадача пакета затрымліваецца на хосце, які тунель маршрутызуе інакш. Гэтае раздзяленне тлумачыць заблытаную справаздачу, дзе абнаўленні выяўляюцца, але ніколі не ўсталёўваюцца. Праверце саму спампоўку пакета, з той жа прылады і той жа сеткі, а не тое, ці адкрываецца праграма.

Праверка вытрымлівае змену маршруту

Змена маршруту не замяняе TLS, ідэнтычнасць выдаўца або праверку подпісу пакета. Не адключайце гэтыя праверкі з-за таго, што спампоўка ўдаецца толькі пасля таго, як вы праклікалі непатлумачанае папярэджанне пра сертыфікат. Папярэджанне, якое з’яўляецца толькі на выключаным шляху, — гэта знаходка, а не перашкода. Даследуйце яе, перш чым пашыраць абыход.

На кіраванай прыладзе папрасіце падтрымліванае выключэнне замест таго, каб дадаваць шырокае правіла для кожнай сістэмнай службы. Правіла, якое выключае ўсе агульныя службы, каб выправіць адзін абнаўляльнік, пашырае абыход значна далей за першапачатковы запыт.

Праверце абнаўленне, затым задокументуйце ўладальніка

Пасля змены падключыцеся зноў і яшчэ раз праверце ўжытае правіла, бо некаторыя кліенты перабудоўваюць маршрутызацыю пры падключэнні тунеля. Выканайце адзін поўны цыкл абнаўлення: праверка, спампоўка, праверка цэласнасці і ўсталёўка. Паспяховая праверка даказвае самую малую частку шляху.

Запішыце ўладальніка перадачы, хосты прызначэння і меркаваны маршрут там жа, дзе і правіла раздзельнага тунелявання. Інакш наступная змена механізму абнаўлення моўчкі зробіць выключэнне несапраўдным, і ў чалавека, які яго атрымае, не будзе ніякага спосабу даведацца, для якога працэсу было напісана правіла.