Túnel dividit: per què un enllaç s’obre fora de la VPN que heu configurat
L’encaminament segueix el procés que obre el sòcol, no l’aplicació que us ha mostrat l’enllaç. Demostreu quin programa es connecta abans d’ampliar les exclusions.
Encaminar una aplicació per un túnel no arrossega el seu encaminament cap a tot el que aquesta aplicació engega, encara que la interfície suggereixi el contrari. Un enllaç lliura una petició a un altre programa, aquest programa obre el seu propi sòcol, i la plataforma aplica les regles al procés nou i no al que va mostrar el text. Aquest segon procés és el que la política del túnel veu de debò, i no és el que heu configurat.
Una aplicació inclosa pot, per tant, obrir un navegador que queda fora del túnel. Un navegador exclòs pot tornar la feina a una aplicació que queda dins. Totes dues direccions d’aquesta sorpresa són comportament ordinari.
La part del flux de treball que ningú no va configurar
La política per aplicació s’escriu contra una identitat d’executable o de paquet, i cada connexió s’avalua en el moment que es crea. El navegador, el visualitzador de documents, el reproductor multimèdia i el full de compartir del sistema porten cadascun la seva identitat, i cadascun rep el seu veredicte. Un enllaç profund porta dades, no política.
Per això l’observació sembla arbitrària: el mateix clic s’encamina de dues maneres segons quin gestor el respongui. Un client de correu dins del túnel obre un enllaç en un navegador que viu fora del túnel, i la pàgina es carrega des de la vostra adreça de casa. Un navegador fora del túnel obre un document en un visualitzador que viu dins, i el fitxer arriba per la sortida. Cap dels dos resultats no és una fallada del client.
Un gestor que ja s’està executant ho empitjora. Si el navegador ja és obert, l’enllaç es converteix en un missatge a un procés existent, i aquest procés conserva l’encaminament que tenia en engegar-se. Tancar i tornar a obrir el gestor canvia el resultat, i per això el problema mai no es reprodueix a demanda.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Quin procés va fer realment la connexió
Mesureu el costat que rep en lloc de raonar-hi. Manteniu el túnel aixecat, feu clic en un enllaç inofensiu i mireu els sòcols que té el programa nou.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
La primera ordre anomena el procés que hi ha darrere de cada sòcol establert a Linux, i la segona fa el mateix a Windows resolent l’identificador del procés propietari. Compareu el nom del procés amb els de la vostra política. Si el nom és el navegador i el navegador està exclòs, el clic va sortir del túnel per disseny i no per una fallada. Aparellar una regla de política amb un sòcol viu és tot el mètode.
Repetiu la comprovació amb el gestor ja en marxa i després amb ell tancat. Els dos resultats poden diferir, i aquesta diferència explica la majoria d’informes intermitents sobre enllaços que s’escapen d’un túnel.
La cobertura és una propietat del flux de treball
Si una tasca s’ha de quedar dins del túnel de principi a fi, cada component que pugui assolir ha d’estar dins de la política: el llançador, el gestor, el visualitzador i qualsevol intermediari que la plataforma hi inserisca. Una cobertura més àmplia sovint és la resposta honesta, i surt més barata que auditar cada objectiu de compartir.
Excloure un intermediari del sistema per arreglar una aplicació és un error habitual. Els intermediaris són compartits, així que l’exclusió segueix totes les altres aplicacions que fan servir el mateix camí, normalment sense que ningú no se n’adoni fins que arriba un informe setmanes més tard. Llegiu què més depèn del component abans d’excloure’l.
Manteniu la identitat separada de l’encaminament. Un enllaç pot portar un testimoni de sessió o un identificador de compte sigui quin sigui l’extrem que rep la petició. Un clic ben encaminat encara pot dir a la destinació exactament qui l’ha seguit.
Documenteu el flux de treball, no la primera casella. Quan una tasca abasta quatre programes, el diagrama amb quatre programes és el que prediu on va el trànsit, i el paràmetre d’una sola aplicació només n’és una fila.