Proč Little Snitch i nadále vypisuje prohlížeč pod VPN?

Zapnete VPN, otevřete Little Snitch a prohlížeč je hned tam, se spojením na stránku, o které jste si mysleli, že jde tunelem. Ten záznam sám o sobě není důkazem úniku. Místní monitor hlásí, který proces na tomto počítači otevřel socket, a prohlížeč ho opravdu otevřel; klient VPN je druhý proces, který ty pakety přebírá až potom. Obě tvrzení platí současně a displej vám ukazuje to první.

Co místní monitor může a co nemůže připsat

Přiřazení probíhá na socketu. Jádro ví, který proces spojení vlastní, takže Little Snitch může záznam s vysokou jistotou označit názvem aplikace. Co ve výchozím nastavení nevidí, je vnější spojení, které VPN kolem tohoto provozu staví, protože to patří jinému procesu.

Doménová jména jsou slabší signál, než vypadají. U spojení HTTPS může jméno pocházet z dotazu DNS, z názvu serveru nabídnutého při handshake nebo ze zpětného vyhledání adresy, podle toho, co systém pozoroval. Nic z toho nevyžaduje dešifrování stránky a nic z toho nedokazuje, kam bajty potom šly.

Záznam prohlížeče tedy odpovídá na otázku kdo, ne kam. Berte ho jako data o přiřazení a kam hledejte v jiném zobrazení.

Krok první: začněte prázdným oknem místo procházení historie

Staré záznamy vám neřeknou, co dělá současná konfigurace. Přepněte časový filtr na Od teď nebo stiskněte Command-K, aby okno ukazovalo jen spojení, která se objeví po tomto okamžiku.

Pak v aplikaci, kterou zkoumáte, udělejte přesně jednu neškodnou věc, třeba načtěte stránku, kterou načítat smíte. Jedna akce, jeden okamžik, aby se objevující záznamy daly bez hádání spojit s ní. Po dokončení počkejte sekundu nebo dvě, protože načtení stránky vytváří nápor spojení, ne jediné. Čtení seznamu, dokud se ještě plní, zaručeně vede k chybnému úsudku o pořadí.

Než výsledek přečtete, zkontrolujte, zda seznam nezužuje vyhledávací pole nebo filtr stavu. Filtr zbylý z dřívější relace je nejčastějším důvodem, proč se spojení zdá chybějící, když je jen skryté, a také důvodem, proč se dva lidé dívající se na stejný počítač neshodnou na tom, co se děje.

Krok druhý: zapněte spojení rozšíření, abyste viděli samotný tunel

Klient VPN v současné verzi macOS bývá síťové rozšíření, ne běžná aplikace. Zapněte v Monitoru Zobrazit síťová rozšíření a spojení, která toto rozšíření vytváří, se zviditelní vedle všeho ostatního.

Teď lze obě vrstvy číst společně. Prohlížeč je zdrojem požadavku a rozšíření je přenos, který ho nese. Vidět obojí je normální a očekávané; vidět jen rozšíření obvykle znamená, že je zobrazení filtrované, a vidět jen aplikaci, že je zobrazení rozšíření vypnuté.

Žádné zobrazení samo o sobě nezmapuje celou cestu. Pravidla směrování, chování DNS a jakékoli výjimky pro jednotlivé aplikace žijí mimo seznam spojení, takže úplná odpověď vyžaduje ověřit je zvlášť.

Krok třetí: rozlište skutečné přímé spojení od efektu zobrazení

Pokud máte podezření, že určitý cíl odchází přímo, pojmenujte ten cíl a ověřte ho samostatně. Podívejte se na vlastní konfiguraci směrování a blokování klienta VPN pro daný hostitel nebo aplikaci a potvrďte, zda má být vyloučen.

Co byste neměli dělat, je v reakci zablokovat každý viditelný záznam prohlížeče. Prohlížeč musí svá spojení stejně vytvářet a jejich blokování v monitoru je nepřesměruje do tunelu; jen je zastaví. Tím se diagnostická otázka mění ve výpadek. Pokud se pravidlo zdá nutné, omezte ho na jediný cíl, který umíte odůvodnit, s poznámkou, proč existuje.

Stejná opatrnost platí pro sloupec s doménou. Jméno, které vás překvapí, může být sdílené jméno hostitele, koncový bod pro doručování obsahu nebo dotaz, který proběhl před spuštěním tunelu, a jeho výklad jako důkazu úniku vede k pravidlům, která rozbíjí fungující provoz.

Krok čtvrtý: držte zobrazení a pravidlo oddělené

Každá změna v tomto cvičení mění to, co monitor zobrazuje. Žádná nemění to, co firewall povoluje, a žádná nepřesouvá provoz do tunelu ani ven.

Až skončíte, vraťte filtry do stavu, který umíte vysvětlit, aby další člověk, který okno otevře, nečetl zobrazení, které jste zanechali. Pokud otázkou bylo, zda cíl jde tunelem, odpovězte ji z nastavení směrování a výjimek, a pak pomocí monitoru výsledek potvrďte, místo abyste o něm hádali.