Чаму Little Snitch па-ранейшаму паказвае браўзер пад VPN?

Вы ўключаеце VPN, адкрываеце Little Snitch — і браўзер тут жа, са злучэннем да сайта, які вы лічылі прапушчаным праз тунель. Гэты запіс сам па сабе не доказ уцечкі. Лакальны манітор паведамляе, які працэс адкрыў сокет на гэтай машыне, і браўзер сапраўды адкрыў яго; кліент VPN — гэта другі працэс, які падхоплівае гэтыя пакеты пазней. Абодва сцверджанні праўдзівыя адначасова, а дысплэй паказвае вам першае.

Што лакальны манітор можа і не можа аднесці

Аднясенне адбываецца на ўзроўні сокета. Ядро ведае, які працэс валодае злучэннем, таму Little Snitch можа пазначыць запіс імем праграмы з высокай пэўнасцю. Чаго ён па змаўчанні не бачыць — гэта знешняга злучэння, якое VPN будуе вакол гэтага трафіку, бо яно належыць іншаму працэсу.

Дамённыя імёны — слабейшы сігнал, чым здаецца. Для злучэння HTTPS імя можа паходзіць з запыту DNS, з імені сервера, прапанаванага падчас рукапаціску, або з адваротнага пошуку адраса — у залежнасці ад таго, што назірала сістэма. Нішто з гэтага не патрабуе расшыфроўкі старонкі і не даказвае, куды пайшлі байты потым.

Такім чынам, запіс браўзера адказвае на пытанне «хто», а не «куды». Стаўцеся да яго як да даных аб аднясенні, а «куды» бярыце з іншага прагляду.

Крок першы: пачніце з пустога акна, а не з пракруткі гісторыі

Старыя запісы не могуць сказаць, што робіць бягучая канфігурацыя. Пераключыце фільтр часу на «З гэтага моманту» або націсніце Command-K, каб акно паказвала толькі злучэнні, якія з'явяцца пасля гэтага моманту.

Затым зрабіце роўна адну бясшкодную рэч у праграме, якую даследуеце, — напрыклад, загрузіце старонку, якую вам дазволена загружаць. Адно дзеянне, адзін момант, каб запісы, якія з'явяцца, можна было прывязаць да яго без здагадак. Пачакайце секунду-другую пасля завяршэння, бо загрузка старонкі дае шквал злучэнняў, а не адно. Чытанне спісу, пакуль ён яшчэ запаўняецца, гарантуе, што вы памылкова ацэніце парадак.

Перш чым чытаць вынік, праверце, ці не звужвае спіс поле пошуку або фільтр стану. Фільтр, які застаўся ад папярэдняй сесіі, — самая частая прычына таго, што злучэнне выглядае адсутным, калі яно проста схаванае, і менавіта таму два чалавекі, якія глядзяць на адну машыну, не пагаджаюцца, што адбываецца.

Крок другі: уключыце злучэнні пашырэнняў, каб убачыць сам тунель

Кліент VPN у сучасным выпуску macOS — звычайна сеткавае пашырэнне, а не звычайная праграма. Уключыце «Паказваць сеткавыя пашырэнні» ў Monitor, і злучэнні, якія робіць гэтае пашырэнне, стануць бачныя побач з усім астатнім.

Цяпер абодва ўзроўні можна чытаць разам. Браўзер — крыніца запыту, а пашырэнне — транспарт, які яго нясе. Бачыць абодва — нармальна і чакана; бачыць толькі пашырэнне звычайна значыць, што прагляд адфільтраваны, а бачыць толькі праграму — што прагляд пашырэнняў выключаны.

Ніводзін прагляд асобна не інвентарызуе ўвесь шлях. Правілы маршрутызацыі, паводзіны DNS і любыя выключэнні для асобных праграм жывуць па-за спісам злучэнняў, таму поўны адказ патрабуе праверыць іх асобна.

Крок трэці: адрозніце сапраўднае прамое злучэнне ад эфекту адлюстравання

Калі вы падазраяце, што пэўны пункт прызначэння выходзіць напрамую, назвіце гэты пункт і праверце яго асобна. Паглядзіце на ўласную канфігурацыю маршрутызацыі і блакавання кліента VPN для гэтага хоста або праграмы і пацвердзіце, ці павінен ён быць выключаны.

Чаго рабіць не варта — блакаваць у адказ кожны бачны запіс браўзера. Браўзер усё адно мусіць рабіць свае злучэнні, і блакаванне іх у маніторы не перакідвае іх у тунель; яно проста іх спыняе. Гэта ператварае дыягнастычнае пытанне ў збой. Калі правіла здаецца неабходным, абмяжуйце яго адным пунктам прызначэння, які вы можаце абгрунтаваць, і дадайце нататку, навошта яно існуе.

Тая ж асцярожнасць датычыцца слупка даменаў. Імя, якое здзіўляе вас, можа быць агульным імем хоста, пунктам дастаўкі змесціва або запытам, што адбыўся да ўзняцця тунеля, і трактоўка яго як доказу ўцечкі вядзе да правілаў, якія ламаюць працоўны трафік.

Крок чацвёрты: трымайце прагляд і правіла асобна

Кожнае змяненне ў гэтым практыкаванні змяняе тое, што паказвае манітор. Нішто з гэтага не змяняе таго, што дазваляе брандмаўэр, і нішто не перамяшчае трафік у тунель або з яго.

Калі скончыце, вярніце фільтры ў стан, які вы можаце патлумачыць, каб наступны чалавек, які адкрые акно, не чытаў прагляд, пакінуты вамі. Калі пытанне было ў тым, ці ідзе пункт прызначэння праз тунель, адкажыце на яго з наладаў маршрутызацыі і выключэнняў, а затым з дапамогай манітора пацвердзіце вынік, а не здагадвайцеся пра яго.