Twnel hollt: pam mae cysylltiad yn agor y tu allan i’r VPN a osodwyd gennych

Nid yw twnelu ap yn cario ei lwybreiddio gyda phopeth y mae’r ap hwnnw’n ei lansio, hyd yn oed os yw’r rhyngwyneb yn awgrymu fel arall. Mae dolen yn trosglwyddo cais i raglen arall, mae’r rhaglen honno’n agor ei soced ei hun, ac mae’r platfform yn cymhwyso’r rheolau i’r broses newydd yn hytrach na’r un a ddangosodd y testun. Yr ail broses honno yw’r hyn y mae polisi’r twnel yn ei weld mewn gwirionedd, ac nid hi yw’r un a ffurfweddwyd gennych.

Felly gall ap sydd wedi’i gynnwys agor porwr sy’n sefyll y tu allan i’r twnel. Gall porwr sydd wedi’i eithrio dychwelyd gwaith i ap sy’n sefyll y tu mewn iddo. Mae’r ddau gyfeiriad o’r syndod hwnnw’n ymddygiad cyffredin.

Y rhan o’r llif gwaith na ffurfweddodd neb

Mae polisi fesul ap yn cael ei ysgrifennu yn erbyn hunaniaeth gweithredadwy neu becyn, a gwerthusir pob cysylltiad ar y foment y’i crëir. Mae’r porwr, y gwyliwr dogfennau, y chwaraewr cyfryngau a thaflen rannu’r system bob un yn cario eu hunaniaeth eu hunain, a phob un yn cael ei farn ei hun. Mae dolen ddwfn yn cario data, nid polisi.

Dyna pam mae’r arsylwi’n teimlo’n fympwyol: mae’r un clic yn llwybreiddio dwy ffordd yn dibynnu pa driniwr sy’n ateb. Mae cleient post sydd yn y twnel yn agor dolen mewn porwr sy’n byw y tu allan i’r twnel, ac mae’r dudalen yn llwytho o’ch cyfeiriad cartref. Mae porwr y tu allan i’r twnel yn agor dogfen mewn gwyliwr sy’n byw y tu mewn iddo, ac mae’r ffeil yn cyrraedd drwy’r allanfa. Nid yw’r un o’r ddau ganlyniad yn fai yn y cleient.

Mae triniwr sy’n rhedeg yn barod yn gwneud pethau’n waeth. Os yw’r porwr yn barod yn agored, mae’r ddolen yn troi’n neges i broses sy’n bodoli, ac mae’r broses honno’n cadw’r llwybreiddio oedd ganddi pan gychwynnodd. Mae cau ac ailagor y triniwr yn newid y canlyniad, a dyna pam nad yw’r broblem byth yn ailgynhyrchu ar gais.

Pa broses wnaeth y cysylltiad mewn gwirionedd

Mesurwch yr ochr sy’n derbyn yn lle rhesymu amdani. Cadwch y twnel i fyny, cliciwch ddolen ddiniwed, ac edrychwch ar y socedi y mae’r rhaglen newydd yn eu dal.

ss -tnp state established '( dport = :443 )'
Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess

Mae’r gorchymyn cyntaf yn enwi’r broses y tu ôl i bob soced sefydledig ar Linux, ac mae’r ail yn gwneud yr un peth ar Windows drwy ddatrys dynodwr y broses sy’n berchen. Cymharwch enw’r broses â’r enwau yn eich polisi. Os mai’r enw yw’r porwr a bod y porwr wedi’i eithrio, gadawodd y clic y twnel yn fwriadol yn hytrach na thrwy fai. Paru rheol polisi â soced byw yw’r dull cyfan.

Ailadroddwch y gwiriad gyda’r triniwr yn rhedeg yn barod, yna gydag ef ar gau. Gall y ddau ganlyniad fod yn wahanol, ac mae’r gwahaniaeth hwnnw’n egluro’r rhan fwyaf o’r adroddiadau ysbeidiol am ddolenni’n dianc o dwnel.

Mae ymdriniaeth yn briodwedd o’r llif gwaith

Os oes rhaid i dasg aros y tu mewn i’r twnel o ddechrau i ddiwedd, mae angen i bob cydran y gall ei chyrraedd fod y tu mewn i’r polisi: y lansiwr, y triniwr, y gwyliwr, ac unrhyw frocer y mae’r platfform yn ei osod rhyngddynt. Mae ymdriniaeth ehangach yn aml yn ateb gonest, ac mae’n rhatach nag archwilio pob targed rhannu.

Mae eithrio brocer system i drwsio un ap yn gamgymeriad cyffredin. Mae broceriaid yn cael eu rhannu, felly mae’r eithriad yn dilyn pob ap arall sy’n defnyddio’r un llwybr, fel arfer heb i neb sylwi nes bod adroddiad yn cyrraedd wythnosau’n ddiweddarach. Darllenwch beth arall sy’n dibynnu ar y gydran cyn ei heithrio.

Cadwch hunaniaeth ar wahân i lwybreiddio hefyd. Gall dolen gario tocyn sesiwn neu ddynodwr cyfrif waeth pa allanfa sy’n derbyn y cais. Gall clic sydd wedi’i lwybreiddio’n gywir roi gwybod i’r gyrchfan yn union pwy a’i dilynodd.

Dogfennwch y llif gwaith, nid y blwch ticio cyntaf. Pan fydd tasg yn ymestyn dros bedwar rhaglen, y diagram â phedwar rhaglen arno yw’r un sy’n rhagfynegi i ble mae’r traffig yn mynd, a dim ond un rhes ohono yw’r gosodiad un ap.