Firefox, стартиран в пространство от имена, предаде URL на съществуващ екземпляр

Команда се изпълнява вътре в пространството от имена на VPN, появява се прозорец на Firefox, а страницата все пак излиза през обичайната връзка. Настройката на маршрутизацията вероятно не е първото, което трябва да се преработва. Проверете дали командата е създала очаквания екземпляр на браузъра, или е предала URL на такъв, който вече е работел другаде. Това разграничение обяснява резултата с една стъпка и спестява час с nftables.

Признакът е, че прозорецът се появява мигновено, без студен старт.

Нов прозорец не е нов екземпляр

Настолните приложения обичайно преизползват съществуващ процес. Стартер в едно мрежово пространство от имена не премества вече работещ получател в това пространство, защото получателят никога не е бил част от стартирането. Дистанционното поведение на Firefox е свързано с профилите: стартиране срещу профил, който вече се използва, предава аргументите на собственика му. Новият прозорец е реален; новият мрежов път не е.

Поверителното сърфиране и опцията за нов прозорец не са средства за мрежова изолация.

Нито е такъв флаг от командния ред, който засяга само режима на прозореца. Ако профилът е зает, заявката отива при процеса, който го притежава, и този процес запазва пространството от имена, в което е започнал.

Принудете отделен екземпляр в отделен профил

Използвайте отделен профил, създаден чрез поддържания работен поток за профили на браузъра, и го стартирайте изрично с този профил. В сборките на Firefox, които го поддържат, --new-instance иска нов екземпляр, а не прозорец в съществуващ такъв. Прегледайте собствената помощ на инсталираната сборка, защото наличните флагове се различават според версията.

Не се опитвайте да отворите същия активен профил едновременно и не приемайте предупреждението „профилът се използва“ като указание да изтриете заключващите файлове.

Стартирайте браузъра и под обичайния си потребител без root. Настройката на мрежата често изисква административни права и е изкушаващо браузърът да получи същите, защото е част от същия експеримент. Графичният браузър не се нуждае от тях и стартирането му като root създава отделен клас проблеми с профила и разрешенията. Дръжте привилегията и мрежовия път като две независими решения.

Проверете кой процес носи трафика

В Linux мрежовото пространство от имена на процеса се вижда чрез връзката му към пространството от имена. Прочетете я за процеса, за който смятате, че прави заявката, а после за процеса, който наистина я прави.

readlink /proc/ACTUAL_PID/ns/net

Браузърите пускат няколко процеса, затова идентичността е важна: процесът на съдържанието, който осъществява връзката, може да не е този, който проверихте първи. Сравнете връзката с пространството от имена, което сте имали предвид, и потвърдете с нова, безобидна заявка, която можете да отнесете към един екземпляр. Приписването е целият тест. Ако не можете да кажете кой процес е осъществил връзката, не сте изпитали пространството от имена.

Когато пространството от имена наистина е грешно

Понякога стартерът наистина се проваля и новият екземпляр започва в грешното пространство от имена. Проверете услугата или обвивката, която го е създала, защото модул или запис за работния плот може да загуби пространството от имена, когато се изпълни повторно през сесийната шина. После тествайте отново от шел вътре в правилното пространство от имена, преди да обвинявате браузъра. Една променлива наведнъж е единственият начин това да остане диагностицируемо.

Споделянето на дисплей не споделя и резолвер.

Ако процесът е в правилното пространство от имена и разрешаването на имена все още се проваля,изследвайте средата му на резолвера като отделен проблем. Друга промяна в маршрутизацията не може да премести заявка, която е била предадена на грешния екземпляр, още преди да е започнала.