Zašto Little Snitch i dalje prikazuje preglednik pod VPN-om?

Uključite VPN, otvorite Little Snitch i preglednik je odmah tu, s vezom prema stranici za koju ste mislili da ide kroz tunel. Taj unos sam po sebi nije dokaz curenja. Lokalni monitor izvještava koji je proces otvorio socket na ovom računalu, a preglednik ga je doista otvorio; VPN klijent je drugi proces koji te pakete preuzima poslije. Obje tvrdnje su istovremeno istinite, a prikaz vam pokazuje prvu.

Šta lokalni monitor može, a šta ne može pripisati

Pripisivanje se događa na socketu. Kernel zna koji proces posjeduje vezu, pa Little Snitch može unos označiti imenom aplikacije s velikom sigurnošću. Ono što prema zadanim postavkama ne vidi je vanjska veza koju VPN gradi oko tog prometa, jer ona pripada drugom procesu.

Nazivi domena slabiji su signal nego što izgledaju. Kod HTTPS veze ime može doći iz DNS upita, iz imena poslužitelja ponuđenog tijekom rukovanja ili iz obrnutog pretraživanja adrese, ovisno o tome što je sustav primijetio. Ništa od toga ne zahtijeva dešifriranje stranice i ništa ne dokazuje kamo su bajtovi otišli poslije.

Dakle, unos preglednika odgovara na pitanje tko, a ne gdje. Tretirajte ga kao podatke o pripisivanju, a gdje potražite u drugom prikazu.

Prvi korak: počnite od praznog prozora umjesto klizanja kroz povijest

Stari unosi ne mogu vam reći što radi trenutačna konfiguracija. Prebacite vremenski filtar na Od sada ili pritisnite Command-K, da prozor prikazuje samo veze koje se pojave nakon tog trenutka.

Zatim učinite točno jednu bezopasnu stvar u aplikaciji koju istražujete, primjerice učitajte stranicu koju smijete učitati. Jedna radnja, jedan trenutak, da se unosi koji se pojave mogu bez nagađanja povezati s njom. Pričekajte sekundu ili dvije nakon završetka, jer učitavanje stranice proizvodi rafal veza, a ne jednu. Čitanje popisa dok se još puni jamči da ćete pogrešno procijeniti redoslijed.

Prije nego pročitate rezultat, provjerite sužava li popis polje za pretragu ili filtar stanja. Filtar ostao od ranije sesije najčešći je razlog zašto se veza čini nestalom kad je samo skrivena, a i razlog zašto se dvoje ljudi koji gledaju isto računalo ne slažu oko onoga što se događa.

Drugi korak: uključite veze proširenja da vidite sam tunel

VPN klijent na suvremenoj verziji macOS-a obično je mrežno proširenje, a ne obična aplikacija. Uključite Prikaži mrežna proširenja u Monitoru i veze koje to proširenje stvara postaju vidljive uz sve ostalo.

Sada se oba sloja mogu čitati zajedno. Preglednik je izvor zahtjeva, a proširenje je prijenos koji ga nosi. Vidjeti oboje normalno je i očekivano; vidjeti samo proširenje obično znači da je prikaz filtriran, a vidjeti samo aplikaciju da je prikaz proširenja isključen.

Nijedan prikaz sam ne popisuje cijeli put. Pravila usmjeravanja, ponašanje DNS-a i bilo kakve iznimke po aplikaciji žive izvan popisa veza, pa potpun odgovor zahtijeva da se one provjere odvojeno.

Treći korak: razlikujte stvarnu izravnu vezu od učinka prikaza

Ako sumnjate da neko odredište izlazi izravno, imenujte to odredište i provjerite ga zasebno. Pogledajte vlastitu konfiguraciju usmjeravanja i blokiranja VPN klijenta za tog hosta ili aplikaciju i potvrdite treba li biti izuzeto.

Ono što ne biste smjeli je blokirati svaki vidljivi unos preglednika kao odgovor. Preglednik ipak mora ostvariti svoje veze, a blokiranje u monitoru ne preusmjerava ih u tunel; samo ih zaustavlja. Time se dijagnostičko pitanje pretvara u prekid rada. Ako se pravilo čini nužnim, ograničite ga na jedno odredište koje možete opravdati, uz napomenu zašto postoji.

Isti oprez vrijedi za stupac s domenama. Ime koje vas iznenadi može biti zajedničko ime hosta, odredište za dostavu sadržaja ili upit koji se dogodio prije nego je tunel podignut, a tretiranje kao dokaza curenja vodi do pravila koja lome promet koji radi.

Četvrti korak: držite prikaz i pravilo odvojeno

Svaka promjena u ovoj vježbi mijenja ono što monitor prikazuje. Nijedna ne mijenja ono što vatrozid dopušta i nijedna ne premješta promet u tunel ili iz njega.

Kad završite, vratite filtre u stanje koje možete objasniti, da sljedeća osoba koja otvori prozor ne čita prikaz koji ste ostavili za sobom. Ako je pitanje bilo ide li odredište kroz tunel, odgovorite iz postavki usmjeravanja i izuzimanja, pa upotrijebite monitor da potvrdite rezultat, a ne da nagađate o njemu.