Ein zweiter Browser erzeugt keine zweite VPN-Route

Zwei Browser, zwei Fenster, eines beim Arbeitskonto und eines beim privaten Konto, und die Annahme lautet, dass sie nun verschiedene Wege nehmen. Das tun sie nicht. Die Profiltrennung hält Cookies auseinander, während die Routing-Entscheidung unterhalb des Browsers fällt und nichts davon weiß, welches Profil gefragt hat. Ein zweiter Weg braucht eine Regel, die einen auswählt, und es gibt nur wenige Orte, an denen diese Regel leben kann.

Zustandstrennung ist keine Pfadtrennung

Ein Browserprofil isoliert den Speicher: Cookies, Verlauf, Erweiterungen und manchmal Anmeldedaten. Diese Isolation gilt innerhalb eines Prozessbaums und hat nichts dazu zu sagen, welche Schnittstelle ein Paket trägt.

Private Fenster gehen im Aussehen weiter und im Routing keinen Schritt. Alles, was der Browser sendet, verlässt weiterhin den vom Betriebssystem gewählten Weg, sofern nicht etwas zwischen Socket und Netzwerk ihn ändert. Speicherisolation mit Netzisolation zu verwechseln erzeugt Erwartungen, die kein Browserhersteller versprochen hat und kein Test erfüllen kann.

Was eine Route tatsächlich auswählt

Vier Dinge können einen anderen Weg wählen: eine VPN-Regel pro App, die zur ausführbaren Datei oder zum Paket passt, ein im Browser oder im System konfigurierter Proxy, ein Netzwerk-Namensraum oder Container und ein zweites physisches Gerät. Jedes davon ändert etwas Reales, und jedes hat einen Preis.

Eine Regel pro App ist auf mobilen Plattformen die übliche Antwort, wo der VPN-Dienst eine Paketliste erhält. Auf dem Desktop hängt es vom Client ab, und eine Regel, die zur ausführbaren Datei passt, erfasst jedes Profil, das diese Datei öffnet. Wenn zwei Profile wirklich verschiedene Wege brauchen, brauchen sie meist zwei Prozesse mit unterschiedlichen Identitäten statt zweier Tabs. Deshalb kann eine gemeinsame Browserinstallation in einem Profil-Design niemals die Grenze sein.

Proxys auf App-Ebene fügen einen weiteren Vermittler hinzu

Eine Proxy-Einstellung im Browser erzeugt tatsächlich einen getrennten Weg, und sie erzeugt auch ein getrenntes Vertrauensverhältnis zu dem, der den Proxy betreibt. Das ist eine legitime Vereinbarung für ein Profil, und sie ist nicht gleichbedeutend mit einer Abdeckung des gesamten Geräts.

Wählen Sie den Proxy bewusst: ein SOCKS-Listener auf demselben Host, ein authentifizierter Proxy innerhalb des Tunnels oder ein entfernter Dienst. Ein Proxy gemischt mit einem VPN im Volltunnel erzeugt verschachtelte Wege, in denen sich die Fehlermodi vervielfachen.

Prüfen Sie die tatsächliche Anfrage jedes Browsers

Senden Sie dieselbe Anfrage aus jedem Browser und vergleichen Sie die beobachtete Ausgangsadresse, statt die Einstellungsseiten zu vergleichen. Ein konfigurierter Proxy, der stillschweigend keine Verbindung aufbaut, ist ein sehr häufiger Weg, um wieder auf dem Standardpfad zu landen.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --proxy socks5h://127.0.0.1:1080 https://api.ipify.org
dig +short example.com

Wiederholen Sie dann die Anfrage mit erzwungenem Proxy und mit abgeschaltetem Tunnel, um zu sehen, welche Schicht den Verkehr tatsächlich trägt. Notieren Sie auch die DNS-Antwort, denn ein Browser mit eigenem verschlüsseltem Resolver kann den Systempfad völlig umgehen und trotzdem die erwartete Seite anzeigen.

Schreiben Sie die beabsichtigte Zuordnung in zwei Zeilen: welcher Prozess welchen Weg nutzt und wem jeder gehört. Behalten Sie auch die Kontoidentitäten im Blick, denn zwei Wege hindern nicht daran, dass dieselbe Anmeldung beiden Zielen vorgelegt wird. Testen Sie nach dem nächsten Browser-Update erneut, denn eine Proxy-Einstellung geht leicht verloren und ist schwer zu bemerken.