Per què Little Snitch encara llista el navegador sota una VPN?

Activeu la VPN, obriu Little Snitch i el navegador és allà mateix, amb una connexió a un lloc que pensàveu que anava pel túnel. Aquesta entrada no és cap prova d'una fuita per si sola. Un monitor local informa de quin procés ha obert un sòcol en aquesta màquina, i el navegador l'ha obert; el client VPN és un segon procés que recull aquests paquets després. Totes dues afirmacions són certes alhora, i la pantalla us mostra la primera.

Què pot atribuir un monitor local i què no

L'atribució passa al sòcol. El nucli sap quin procés posseeix una connexió, així que Little Snitch pot etiquetar una entrada amb el nom de l'aplicació amb molta confiança. El que no veu per defecte és la connexió exterior que la VPN construeix al voltant d'aquest trànsit, perquè pertany a un altre procés.

Els noms de domini són un senyal més feble del que sembla. En una connexió HTTPS el nom pot venir d'una consulta DNS, del nom del servidor ofert durant l'handshake o d'una cerca inversa de l'adreça, segons què hagi observat el sistema. Res d'això no requereix desxifrar la pàgina, i res no demostra on han anat els bytes després.

Així, l'entrada del navegador respon qui, no on. Tracteu-la com a dada d'atribució i obteniu el on des d'una altra vista.

Pas u: comenceu amb una finestra buida en lloc de desplaçar l'historial

Les entrades antigues no us poden dir què fa la configuració actual. Canvieu el filtre de temps a Des d'ara, o premeu Command-K, perquè la finestra mostri només les connexions que apareguin després d'aquell moment.

Després feu exactament una cosa inofensiva a l'aplicació que investigueu, com ara carregar una pàgina que teniu permès de carregar. Una acció, un moment, perquè les entrades que apareguin s'hi puguin lligar sense endevinar. Espereu un segon o dos quan acabi, perquè carregar una pàgina produeix una allau de connexions i no una de sola. Llegir la llista mentre encara s'omple garanteix que jutjareu malament l'ordre.

Abans de llegir el resultat, comproveu si un camp de cerca o un filtre d'estat està estrenyent la llista. Un filtre que ha quedat d'una sessió anterior és la causa més habitual que una connexió sembli absent quan només és amagada, i també és per què dues persones que miren la mateixa màquina no es posen d'acord sobre què passa.

Pas dos: incloeu les connexions de les extensions per veure el túnel

El client VPN en una versió actual de macOS sol ser una extensió de xarxa i no una aplicació corrent. Activeu Mostra les extensions de xarxa al Monitor i les connexions que fa aquesta extensió es fan visibles al costat de tota la resta.

Ara les dues capes es poden llegir juntes. El navegador és l'origen de la petició i l'extensió és el transport que la porta. Veure totes dues és normal i esperable; veure només l'extensió sol voler dir que la vista està filtrada, i veure només l'aplicació que la vista d'extensions està desactivada.

Cap vista per si sola no inventaria tot el camí. Les regles d'encaminament, el comportament del DNS i qualsevol excepció per aplicació viuen fora de la llista de connexions, així que una resposta completa necessita comprovar-les a part.

Pas tres: distingiu una connexió directa real d'un efecte de la pantalla

Si sospiteu que una destinació concreta surt directament, anomeneu aquesta destinació i comproveu-la pel seu compte. Mireu la configuració d'encaminament i de bloqueig del mateix client VPN per a aquest amfitrió o aplicació, i confirmeu si se suposa que ha d'estar exclosa.

El que no hauríeu de fer és bloquejar cada entrada visible del navegador com a resposta. El navegador ha de fer igualment les seves connexions, i bloquejar-les al monitor no les redirigeix al túnel; només les atura. Això converteix una pregunta de diagnòstic en una caiguda. Si una regla sembla necessària, limiteu-la a l'única destinació que podeu justificar, amb una nota sobre per què existeix.

La mateixa precaució val per a la columna del domini. Un nom que us sorprèn pot ser un nom d'amfitrió compartit, un punt de lliurament de contingut o una consulta feta abans que el túnel s'aixequés, i tractar-lo com a prova d'una fuita porta a regles que trenquen trànsit que funciona.

Pas quatre: manteniu la vista i la regla separades

Cada canvi d'aquest exercici altera què mostra el monitor. Cap no altera què permet el tallafoc, i cap no mou trànsit cap al túnel ni enfora.

Quan hàgiu acabat, torneu els filtres a un estat que pugueu explicar, perquè la propera persona que obri la finestra no llegeixi una vista que heu deixat enrere. Si la pregunta era si una destinació va pel túnel, responeu-la des de la configuració d'encaminament i d'exclusions, i després feu servir el monitor per confirmar el resultat en lloc d'endevinar-lo.