Warum Split-Tunneling die Updates deiner App nicht abdeckt

Du setzt die Anwendung auf die Ausschlussliste des Split-Tunnelings, die App erreicht das Internet direkt, und die Updates schlagen weiterhin fehl oder kriechen weiter durch den Tunnel. Der Ausschluss hat funktioniert. Er deckte nur einen anderen Prozess ab als den, der den Download ausführt, denn ein moderner Updater ist selten dieselbe ausführbare Datei wie das Anwendungsfenster.

Der Mythos: Eine App auszuschließen schließt ihren Datenverkehr aus

Split-Tunneling pro App gleicht einen Prozess, ein Paket oder einen Anwendungspfad ab, je nach Plattform. Es gleicht keine Marke, keine Funktion und keine Absicht des Nutzers ab. Wenn die Anwendung den Download an einen Helfer, einen gemeinsamen Plattformdienst oder eine Browserkomponente übergibt, hat dieser Helfer seine eigene Identität und seinen eigenen Pfad durch den Tunnel. Die Ausschlussliste hat keine Ahnung, dass die beiden Prozesse zum selben Produkt gehören. Sie weiß nur, welchen du genannt hast.

Die Regel tut also genau, was man ihr gesagt hat. Die Annahme, wer die Übertragung besitzt, war falsch, und die Behebung beginnt damit, diesen Eigentümer zu identifizieren, statt weitere Ausschlüsse hinzuzufügen.

Finde den Eigentümer der Übertragung

Unter Android kann das Update von einem gemeinsamen Dienstpaket statt von dem App-Paket abgerufen werden, das du ausgeschlossen hast, und eine VPN-Regel pro App gilt für das Paket, das den Socket öffnet. Unter Windows kann ein Updater-Dienst unter einem anderen ausführbaren Pfad laufen als die Anwendung, sodass eine Regel, die dem App-Pfad entspricht, ihn verfehlt. Unter macOS kann ein privilegierter Helfer oder ein System-Update-Daemon die Übertragung durchführen, während die App sie nur anfordert.

Identifiziere den Eigentümer anhand von Belegen: die Netzwerkaktivitätsansicht der Plattform, ein nach Prozess gefilterter Paketmitschnitt oder die Herstellerdokumentation, die die Updater-Komponente benennt. Aus dem Prozessnamen zu raten ist der Weg, auf dem zwei ähnlich aussehende Binärdateien verwechselt und die falsche ausgeschlossen wird.

Update-Systeme teilen die Arbeit oft ebenfalls auf. Eine kleine Metadatenanfrage prüft auf eine Version, und ein viel größerer Paketdownload geht an einen Content-Delivery-Host oder eine andere Domain. Die Metadatenprüfung kann durch den Tunnel gelingen, während die Paketübertragung bei einem Host stockt, den der Tunnel anders routet. Diese Aufteilung erklärt den verwirrenden Bericht, bei dem Updates erkannt, aber nie installiert werden. Teste den Paketdownload selbst, vom selben Gerät und im selben Netzwerk, statt zu testen, ob sich die Anwendung öffnet.

Die Prüfung übersteht einen Routenwechsel

Eine Route zu ändern ersetzt weder TLS noch die Herausgeberidentität noch die Prüfung der Paketsignatur. Schalte diese Prüfungen nicht ab, nur weil ein Download erst gelingt, nachdem du eine unerklärte Zertifikatswarnung weggeklickt hast. Eine Warnung, die nur auf dem ausgeschlossenen Pfad erscheint, ist ein Befund, kein Hindernis. Untersuche sie, bevor du die Umgehung erweiterst.

Auf einem verwalteten Gerät bitte um eine unterstützte Ausnahme, statt eine breite Regel für jeden Systemdienst hinzuzufügen. Eine Regel, die alle gemeinsamen Dienste ausschließt, um einen Updater zu reparieren, erweitert die Umgehung weit über die ursprüngliche Anfrage hinaus.

Teste das Update und dokumentiere dann den Eigentümer

Verbinde dich nach der Änderung erneut und prüfe die angewendete Regel noch einmal, denn manche Clients bauen ihr Routing beim erneuten Verbinden des Tunnels neu auf. Führe einen vollständigen Update-Zyklus aus: prüfen, herunterladen, verifizieren und installieren. Eine erfolgreiche Prüfung belegt nur den kleinsten Teil des Pfads.

Halte den Eigentümer der Übertragung, die Zielhosts und die beabsichtigte Route am selben Ort fest wie die Split-Tunneling-Regel. Sonst macht die nächste Änderung am Update-Mechanismus die Ausnahme stillschweigend ungültig, und wer sie erbt, hat keine Möglichkeit zu wissen, für welchen Prozess die Regel geschrieben wurde.