Warum listet Little Snitch den Browser trotz VPN weiterhin auf?

Sie schalten das VPN ein, öffnen Little Snitch, und der Browser steht sofort da, mit einer Verbindung zu einer Seite, von der Sie dachten, sie laufe durch den Tunnel. Dieser Eintrag ist für sich genommen kein Beweis für ein Leck. Ein lokaler Monitor meldet, welcher Prozess auf dieser Maschine einen Socket geöffnet hat, und der Browser hat ihn geöffnet; der VPN-Client ist ein zweiter Prozess, der diese Pakete danach aufnimmt. Beide Aussagen sind gleichzeitig wahr, und die Anzeige zeigt Ihnen die erste.

Was ein lokaler Monitor zuordnen kann und was nicht

Die Zuordnung geschieht am Socket. Der Kernel weiß, welcher Prozess eine Verbindung besitzt, daher kann Little Snitch einen Eintrag mit hoher Sicherheit dem App-Namen zuordnen. Was er standardmäßig nicht sieht, ist die äußere Verbindung, die das VPN um diesen Datenverkehr herum aufbaut, denn die gehört zu einem anderen Prozess.

Domainnamen sind ein schwächeres Signal, als sie wirken. Bei einer HTTPS-Verbindung kann der Name aus einer DNS-Abfrage stammen, aus dem während des Handshakes angebotenen Servernamen oder aus einer Rückwärtssuche der Adresse, je nachdem, was das System beobachtet hat. Nichts davon erfordert eine Entschlüsselung der Seite, und nichts davon beweist, wohin die Bytes danach gingen.

Der Browser-Eintrag beantwortet also wer, nicht wohin. Behandeln Sie ihn als Zuordnungsdaten und holen Sie das Wohin aus einer anderen Ansicht.

Schritt eins: mit einem leeren Fenster beginnen statt durch den Verlauf zu scrollen

Alte Einträge können Ihnen nicht sagen, was die aktuelle Konfiguration tut. Stellen Sie den Zeitfilter auf Ab jetzt, oder drücken Sie Command-K, damit das Fenster nur Verbindungen zeigt, die nach diesem Moment auftauchen.

Tun Sie dann genau eine harmlose Sache in der Anwendung, die Sie untersuchen, etwa eine Seite laden, die Sie laden dürfen. Eine Aktion, ein Moment, damit die auftauchenden Einträge ohne Raten dazu in Beziehung gesetzt werden können. Warten Sie ein oder zwei Sekunden nach dem Abschluss, denn ein Seitenaufruf erzeugt einen Schwung Verbindungen statt einer einzigen. Die Liste zu lesen, während sie sich noch füllt, garantiert, dass Sie die Reihenfolge falsch beurteilen.

Prüfen Sie vor dem Lesen des Ergebnisses, ob ein Suchfeld oder ein Statusfilter die Liste einengt. Ein Filter, der aus einer früheren Sitzung übrig ist, ist der häufigste Grund, warum eine Verbindung zu fehlen scheint, obwohl sie nur verborgen ist, und auch der Grund, warum zwei Personen am selben Rechner sich uneinig sind, was vor sich geht.

Schritt zwei: Erweiterungsverbindungen einblenden, um den Tunnel selbst zu sehen

Der VPN-Client ist unter einer aktuellen macOS-Version meist eine Netzwerkerweiterung und keine gewöhnliche App. Schalten Sie im Monitor Netzwerkerweiterungen anzeigen ein, und die Verbindungen dieser Erweiterung werden neben allem anderen sichtbar.

Jetzt lassen sich beide Ebenen zusammen lesen. Der Browser ist der Ursprung der Anfrage, und die Erweiterung ist der Transport, der sie trägt. Beides zu sehen ist normal und zu erwarten; nur die Erweiterung zu sehen bedeutet meist, dass die Ansicht gefiltert ist, während nur die App zu sehen meist bedeutet, dass die Erweiterungsansicht aus ist.

Keine Ansicht allein erfasst den ganzen Weg. Routingregeln, DNS-Verhalten und etwaige Ausnahmen pro App liegen außerhalb der Verbindungsliste, ein vollständiger Befund erfordert also, sie getrennt zu prüfen.

Schritt drei: eine echte direkte Verbindung von einem Anzeigeeffekt unterscheiden

Wenn Sie vermuten, dass ein bestimmtes Ziel direkt hinausgeht, benennen Sie dieses Ziel und prüfen Sie es für sich. Sehen Sie sich die eigene Routing- und Sperrkonfiguration des VPN-Clients für diesen Host oder diese App an, und bestätigen Sie, ob es ausgenommen sein soll.

Was Sie nicht tun sollten, ist, als Reaktion jeden sichtbaren Browser-Eintrag zu blockieren. Der Browser muss seine Verbindungen weiterhin aufbauen, und sie im Monitor zu blockieren leitet sie nicht in den Tunnel um; es stoppt sie nur. Das verwandelt eine Diagnosefrage in einen Ausfall. Wenn eine Regel nötig erscheint, beschränken Sie sie auf das eine Ziel, das Sie begründen können, mit einer Notiz, warum es sie gibt.

Dieselbe Vorsicht gilt für die Domänenspalte. Ein Name, der Sie überrascht, kann ein gemeinsamer Hostname, ein Endpunkt für die Inhaltsauslieferung oder eine Abfrage sein, die vor dem Hochkommen des Tunnels geschah, und ihn als Beweis für ein Leck zu behandeln führt zu Regeln, die funktionierenden Datenverkehr brechen.

Schritt vier: Ansicht und Regel getrennt halten

Jede Änderung in dieser Übung verändert, was der Monitor anzeigt. Keine davon verändert, was die Firewall erlaubt, und keine davon verschiebt Datenverkehr in den Tunnel hinein oder aus ihm heraus.

Wenn Sie fertig sind, bringen Sie die Filter in einen Zustand zurück, den Sie erklären können, damit die nächste Person, die das Fenster öffnet, nicht eine Ansicht liest, die Sie hinterlassen haben. Wenn die Frage war, ob ein Ziel durch den Tunnel geht, beantworten Sie sie aus den Routing- und Ausnahmeeinstellungen und nutzen Sie danach den Monitor, um das Ergebnis zu bestätigen, statt darauf zu raten.