Otevření druhého prohlížeče nevytvoří druhou trasu VPN

Dva prohlížeče, dvě okna, jedno na pracovním účtu a jedno na osobním, a předpoklad je, že teď jdou různými cestami. Nejdou. Oddělení profilů drží cookies oddělené, zatímco rozhodnutí o směrování probíhá pod prohlížečem a neví, který profil se ptal. Druhá cesta potřebuje pravidlo, které ji vybere, a míst, kde takové pravidlo může žít, je jen několik.

Oddělení stavu není oddělení cesty

Profil prohlížeče izoluje úložiště: cookies, historii, rozšíření a někdy přihlašovací údaje. Tato izolace platí uvnitř jednoho stromu procesů a nemá co říci k tomu, které rozhraní nese paket.

Anonymní okna jdou dál ve vzhledu a ani o krok dál ve směrování. Všechno, co prohlížeč odešle, stále odchází cestou zvolenou operačním systémem, pokud něco mezi soketem a sítí tuto cestu nezmění. Záměna izolace úložiště s izolací sítě vytváří očekávání, která žádný výrobce prohlížečů neslíbil a která žádný test nemůže splnit.

Co trasu skutečně vybírá

Čtyři věci mohou vybrat jinou cestu: pravidlo VPN pro jednotlivou aplikaci, které odpovídá spustitelnému souboru nebo balíčku, proxy nastavená uvnitř prohlížeče nebo systému, síťový jmenný prostor nebo kontejner a druhé fyzické zařízení. Každá z nich mění něco skutečného a každá má svou cenu.

Pravidlo pro jednotlivou aplikaci je obvyklá odpověď na mobilních platformách, kde služba VPN dostává seznam balíčků. Na počítači záleží na klientovi a pravidlo, které odpovídá spustitelnému souboru, pokrývá každý profil, který tento soubor otevře. Pokud dva profily skutečně potřebují různé cesty, obvykle potřebují dva procesy s různými identitami, a ne dvě karty. Proto sdílená instalace prohlížeče nikdy nemůže být hranicí v návrhu založeném na profilech.

Proxy na úrovni aplikace přidávají dalšího prostředníka

Nastavení proxy v prohlížeči skutečně vytváří samostatnou cestu a také vytváří samostatný vztah důvěry s tím, kdo proxy provozuje. To je legitimní uspořádání pro jeden profil a není rovnocenné pokrytí celého zařízení.

Vybírejte proxy vědomě: SOCKS posluchač na stejném hostiteli, autentizovaná proxy uvnitř tunelu nebo vzdálená služba. Míchání proxy s VPN s plným tunelem vytváří vnořené cesty, v nichž se režimy selhání násobí.

Ověřte skutečný požadavek každého prohlížeče

Odešlete stejný požadavek z každého prohlížeče a porovnejte pozorovanou výstupní adresu, místo abyste porovnávali stránky nastavení. Nastavená proxy, která tiše selže při připojení, je velmi častý způsob, jak skončit zpět na výchozí cestě.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --proxy socks5h://127.0.0.1:1080 https://api.ipify.org
dig +short example.com

Potom požadavek zopakujte s vynucenou proxy a s vypnutým tunelem, abyste viděli, která vrstva provoz skutečně nese. Zapište i odpověď DNS, protože prohlížeč s vlastním šifrovaným resolverem může systémovou cestu úplně obejít a přesto zobrazit stránku, kterou jste očekávali.

Zapište zamýšlené přiřazení do dvou řádků: který proces používá kterou cestu a kdo vlastní každou z nich. Mějte na očích i identity účtů, protože dvě cesty nebrání tomu, aby se stejné přihlášení představilo oběma cílům. Po další aktualizaci prohlížeče test zopakujte, protože nastavení proxy se snadno ztratí a těžko si ho všimnete.