Obrir un segon navegador no crea una segona ruta VPN

Dos navegadors, dues finestres, una al compte de feina i una al compte personal, i la suposició és que ara segueixen camins diferents. No els segueixen. La separació de perfils manté les galetes separades, mentre que la decisió d'encaminament passa per sota del navegador i no sap quin perfil ho ha demanat. Un segon camí necessita una regla que el triï, i només hi ha uns quants llocs on pot viure aquesta regla.

Separar l'estat no és separar el camí

Un perfil de navegador aïlla l'emmagatzematge: galetes, historial, extensions i de vegades credencials. Aquest aïllament s'aplica dins d'un sol arbre de processos i no té res a dir sobre quina interfície porta un paquet.

Les finestres privades arriben més lluny en aparença i gens més lluny en encaminament. Tot el que envia el navegador continua sortint pel camí triat pel sistema operatiu, tret que alguna cosa entre el sòcol i la xarxa ho canviï. Confondre l'aïllament d'emmagatzematge amb l'aïllament de xarxa genera expectatives que cap fabricant de navegadors ha promès i que cap prova pot satisfer.

Què tria realment una ruta

Quatre coses poden triar un camí diferent: una regla VPN per aplicació que coincideixi amb l'executable o el paquet, un proxy configurat dins del navegador o del sistema, un espai de noms de xarxa o contenidor, i un segon dispositiu físic. Cadascuna canvia alguna cosa real, i cadascuna té un cost.

Una regla per aplicació és la resposta habitual a les plataformes mòbils, on el servei VPN rep una llista de paquets. A l'escriptori depèn del client, i una regla que coincideix amb l'executable cobreix tots els perfils que obre aquest executable. Si dos perfils necessiten de debò camins diferents, normalment necessiten dos processos amb identitats diferents en lloc de dues pestanyes. Per això una instal·lació compartida del navegador no pot ser mai la frontera en un disseny per perfils.

Els proxys a nivell d'aplicació afegeixen un altre intermediari

Un paràmetre de proxy al navegador sí que crea un camí separat, i també crea una relació de confiança separada amb qui gestiona el proxy. És un arranjament legítim per a un perfil, i no equival a una cobertura de tot el dispositiu.

Trieu el proxy deliberadament: un escoltador SOCKS al mateix amfitrió, un proxy autenticat dins del túnel o un servei remot. Barrejar un proxy amb una VPN de túnel complet produeix camins imbricats on les maneres de fallar es multipliquen.

Verifiqueu la petició real de cada navegador

Envieu la mateixa petició des de cada navegador i compareu l'adreça de sortida observada, en lloc de comparar les pàgines de configuració. Un proxy configurat que falla silenciosament en connectar-se és una manera molt habitual d'acabar tornant al camí per defecte.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --proxy socks5h://127.0.0.1:1080 https://api.ipify.org
dig +short example.com

Després repetiu la petició amb el proxy forçat i amb el túnel aturat, per veure quina capa porta realment el trànsit. Anoteu també la resposta DNS, perquè un navegador amb el seu propi resolutor xifrat pot evitar del tot el camí del sistema i continuar mostrant la pàgina que esperàveu.

Escriviu la correspondència prevista en dues línies: quin procés fa servir quin camí i qui és propietari de cadascun. Tingueu també a la vista les identitats dels comptes, perquè dos camins no impedeixen que el mateix inici de sessió es presenti a les dues destinacions. Torneu a provar-ho després de la propera actualització del navegador, perquè un paràmetre de proxy es perd fàcilment i costa de notar.