At åbne en anden browser opretter ikke en anden VPN-rute

To browsere, to vinduer, det ene på arbejdskontoen og det andet på en personlig konto, og antagelsen er, at de nu følger forskellige stier. Det gør de ikke. Profiladskillelse holder cookies adskilt, mens beslutningen om ruten træffes under browseren og intet ved om, hvilken profil der spurgte. En anden sti kræver en regel, der vælger den, og der er kun få steder, hvor den regel kan bo.

Adskillelse af tilstand er ikke adskillelse af sti

En browserprofil isolerer lager: cookies, historik, udvidelser og nogle gange legitimationsoplysninger. Den isolering håndhæves inde i ét procestræ og har intet at sige om, hvilken grænseflade der bærer en pakke.

Private vinduer går længere i udseende og ikke et skridt længere i routing. Alt, hvad browseren sender, forlader stadig den sti, styresystemet har valgt, medmindre noget mellem soklen og netværket ændrer det. At forveksle lagerisolation med netværksisolation skaber forventninger, som ingen browservirksomhed har lovet, og som ingen test kan indfri.

Hvad der faktisk vælger en rute

Fire ting kan vælge en anden sti: en VPN-regel per app, der matcher den kørbare fil eller pakken, en proxy konfigureret inde i browseren eller systemet, et netværksnavnerum eller en container, og en anden fysisk enhed. Hver af dem ændrer noget virkeligt, og hver har en pris.

En regel per app er det sædvanlige svar på mobile platforme, hvor VPN-tjenesten modtager en pakkeliste. På en computer afhænger det af klienten, og en regel, der matcher den kørbare fil, dækker enhver profil, som den fil åbner. Hvis to profiler virkelig har brug for forskellige stier, har de normalt brug for to processer med forskellige identiteter i stedet for to faner. Derfor kan en delt browserinstallation aldrig være grænsen i et design per profil.

Proxier på appniveau tilføjer endnu et mellemled

En proxyindstilling i browseren skaber faktisk en separat sti, og den skaber også et separat tillidsforhold til den, der driver proxyen. Det er en legitim ordning for én profil, og den svarer ikke til dækning af hele enheden.

Vælg proxyen med vilje: en SOCKS-lytter på samme vært, en godkendt proxy inde i tunnelen eller en ekstern tjeneste. At blande en proxy med en VPN med fuld tunnel giver indlejrede stier, hvor fejltilstandene formerer sig.

Kontroller hver browsers faktiske anmodning

Send den samme anmodning fra hver browser, og sammenlign den observerede udgangsadresse i stedet for at sammenligne indstillingssiderne. En konfigureret proxy, der lydløst ikke kan forbinde, er en meget almindelig måde at ende tilbage på standardstien.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --proxy socks5h://127.0.0.1:1080 https://api.ipify.org
dig +short example.com

Gentag derefter anmodningen med proxyen fremtvunget og med tunnelen nede for at se, hvilket lag der faktisk bærer trafikken. Notér også DNS-svaret, fordi en browser med sin egen krypterede resolver kan omgå systemstien helt og alligevel vise den side, du forventede.

Skriv den tilsigtede tilknytning ned som to linjer: hvilken proces der bruger hvilken sti, og hvem der ejer hver af dem. Hold også kontoidentiteter for øje, fordi to stier ikke forhindrer, at det samme login præsenteres for begge destinationer. Test igen efter den næste browseropdatering, fordi en proxyindstilling er let at miste og svær at bemærke.