Ap wedi’i rwymo i ryngwyneb? Nid yw ei lwybr VPN yn ddiofyn

Mae un ap ar y peiriant yn gadael drwy’r VPN ac un arall ddim, ac mae’r ddau ddefnyddiwr yn tyngu na wnaethant newid dim. Y gwahaniaeth yn aml yw penderfyniad rhwymo a wneir gan yr ap ei hun: soced wedi’i chlymu i ddyfais, cyfeiriad ffynhonnell a ddewiswyd cyn y cysylltiad, neu ofod enwau â’i dabl llwybro ei hun. Mae pob un yn newid pa lwybr sy’n gymwys, ac nid oes yr un yn ymddangos mewn gwiriad IP cyffredinol mewn porwr.

Tri rhwymiad gwahanol, tri effaith wahanol

Mae rhwymo i ddyfais a rhwymo i gyfeiriad ffynhonnell yn weithrediadau cysylltiedig â chanlyniadau gwahanol. Gall rhwymiad dyfais orfodi traffig allan drwy un rhyngwyneb a sgipio’r chwiliad llwybr arferol ar gyfer y soced hwnnw. Mae rhwymo cyfeiriad ffynhonnell yn dal i fynd drwy ddetholiad llwybr, ond gall y ffynhonnell a ddewiswyd gyd-fynd â rheol polisi ac anfon y pecyn rywsut arall. Mae’r gwahaniaeth yn swnio’n academaidd nes bod rheol yn llwybro yn ôl ffynhonnell. Yna mae’n penderfynu popeth.

Gofod enwau rhwydwaith yw’r trydydd achos. Mae ganddo ei ryngwynebau a’i dabl llwybro ei hun, felly nid yw ap y tu mewn iddo yn cael ei effeithio o gwbl gan ddiofyn y gwesteiwr. Mae trin y tri fel yr un peth yn cynhyrchu esboniadau hyderus nad ydynt yn goroesi’r prawf cyntaf.

Penderfynwch beth mae’r ap yn ei osod mewn gwirionedd

Darllenwch ffurfweddiad rhwydwaith yr ap neu ei ymddygiad dogfennol cyn cyffwrdd â llwybrau. Os yw’n cynnig dewis rhyngwyneb, maes cyfeiriad ffynhonnell neu opsiwn gofod enwau, y gosodiad hwnnw yw’r peth cyntaf i’w archwilio. Os nad yw, gall y rhwymiad fod yn fewnol ac yn weladwy dim ond drwy olrhain neu ei ddiagnosteg ei hun.

Ar Linux, mae gan opsiynau soced fel SO_BINDTODEVICE gwmpas a gofynion caniatâd dogfennol, ac efallai na all proses heb fraint eu gosod o gwbl. Mae’r cyfyngiad hwnnw’n gliw ddefnyddiol: os na ellir cymhwyso’r opsiwn, mae’n debyg nad yr ap yw ffynhonnell y gwahaniaeth.

Mae llwybro polisi yn darllen y ffynhonnell

Pan fydd llwybro polisi wedi’i ffurfweddu, gall rheol ddewis tabl yn seiliedig ar ffynhonnell y pecyn. Felly gall soced sy’n rhwymo cyfeiriad ffynhonnell ddilyn rheol nad yw’r llwybr diofyn yn cyffwrdd â hi o gwbl, er na enwyd unrhyw ryngwyneb yn benodol.

Ailadroddwch y chwiliad gyda’r un teulu cyfeiriadau, ffynhonnell a gofod enwau ag y mae’r ap yn eu defnyddio. Mae chwiliad llwybr cyffredinol o blisgyn yng ngofod enwau’r gwesteiwr yn ateb cwestiwn gwahanol, a’r camgymhariad hwnnw yw’r rheswm mwyaf cyffredin pam mae llwybr sy’n gweithio yn edrych yn doredig.

Twnelu hollt a phrosesau cynorthwyol

Mae twnelu hollt fesul ap yn ychwanegu haen arall. Gall y cleient gyd-fynd â phecyn neu broses yr ap, ac mae cynorthwyydd sy’n agor ei soced ei hun yn destun ar wahân. Gall lansiwr a’i wasanaeth cefndir gynhyrchu cysylltiadau gwahanol o dan yr un enw gweladwy.

Gwiriwch a yw rheol y twnelu hollt yn cynnwys y broses sy’n cysylltu mewn gwirionedd. Os yw’r ap yn rhwymo i ryngwyneb penodol ac mae’r cleient VPN yn cyd-fynd yn ôl pecyn, gall y ddwy benderfyniad anghytuno heb fod y naill na’r llall yn anghywir.

Profwch lwybr yr ap ei hun

Rhedwch gais newydd o’r ap ar ôl pob newid. Nid yw porwr yn dangos yr allanfa a oeddech ei eisiau yn dystiolaeth gyfatebol ar gyfer rhaglen arall sydd wedi’i rhwymo i ryngwyneb arall, a gall cysylltiadau wedi’u cache bylu barhau i ddefnyddio’r hen lwybr ymhell ar ôl i osodiad newid. Caewch yr hen sesiwn cyn barnu’r rheol newydd. Fel arall, mae’r prawf yn mesur y gorffennol.

Mae cyfeirlyfr socedi Linux yn dogfennu SO_BINDTODEVICE a’i ofynion. Darllenwch ffurfweddiad yr ap ei hun yn gyntaf, ailadroddwch y chwiliad yn yr un cyd-destun, a dim ond wedyn penderfynwch a ddylid newid y llwybr neu’r rhwymiad.