Disigita tunelo: kial ligilo malfermiĝas ekster la VPN, kiun vi agordis
Enkursigo sekvas la procezon, kiu malfermas la soketon, ne la aplikaĵon, kiu montris al vi la ligilon. Pruvu, kiu programo konektiĝas, antaŭ ol vastigi viajn esceptojn.
Tuneligi aplikaĵon ne portas ĝian enkursigon al ĉio, kion tiu aplikaĵo lanĉas, eĉ se la interfaco sugestas la malon. Ligilo transdonas peton al alia programo, tiu programo malfermas sian propran soketon, kaj la platformo aplikas la regulojn al la nova procezo anstataŭ al tiu, kiu montris la tekston. Ĝuste tiun duan procezon vidas la tunela politiko, kaj ĝi ne estas tiu, kiun vi agordis.
Inkluzivita aplikaĵo do povas malfermi retumilon, kiu staras ekster la tunelo. Ekskludita retumilo povas redoni laboron al aplikaĵo, kiu staras ene de ĝi. Ambaŭ direktoj de tiu surprizo estas ordinara konduto.
La parto de la laborfluo, kiun neniu agordis
Politiko por aplikaĵo estas skribata kontraŭ identeco de plenumebla dosiero aŭ pakaĵo, kaj ĉiu konekto estas taksata en la momento, kiam ĝi kreiĝas. La retumilo, la dokumentrigardilo, la plurmedia ludilo kaj la kundivida folio de la sistemo portas ĉiu sian propran identecon, kaj ĉiu ricevas sian propran verdikton. Profunda ligilo portas datumojn, ne politikon.
Tial la observado ŝajnas arbitra: la sama alklako enkursiĝas duvoje depende de tio, kiu traktilo respondas. Retpoŝta kliento en la tunelo malfermas ligilon en retumilo, kiu vivas ekster la tunelo, kaj la paĝo ŝargiĝas de via hejma adreso. Retumilo ekster la tunelo malfermas dokumenton en rigardilo, kiu vivas ene de ĝi, kaj la dosiero alvenas tra la eliro. Neniu el la du rezultoj estas difekto en la kliento.
Jam funkcianta traktilo plimalbonigas tion. Se la retumilo jam estas malfermita, la ligilo fariĝas mesaĝo al ekzistanta procezo, kaj tiu procezo konservas ĉian enkursigon, kiun ĝi havis ĉe sia starto. Fermi kaj remalfermi la traktilon ŝanĝas la rezulton, kaj tial la problemo neniam reproduktiĝas laŭpete.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Kiu procezo efektive faris la konekton
Mezu la ricevan flankon anstataŭ rezonadi pri ĝi. Tenu la tunelon aktiva, alklaku sendanĝeran ligilon, kaj rigardu la soketojn, kiujn la nova programo tenas.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
La unua komando nomas la procezon malantaŭ ĉiu establigita soketo en Linux, kaj la dua faras la samon en Windows solvante la identigilon de la posedanta procezo. Komparu la procezan nomon kun tiuj en via politiko. Se la nomo estas la retumilo kaj la retumilo estas ekskludita, la alklako forlasis la tunelon laŭdezajne kaj ne pro difekto. Parigi politikan regulon kun viva soketo estas la tuta metodo.
Ripetu la kontrolon kun la traktilo jam funkcianta, poste kun ĝi fermita. La du rezultoj povas malsami, kaj tiu diferenco klarigas plej multajn intermitajn raportojn pri ligiloj eskapantaj el tunelo.
Kovrado estas eco de la laborfluo
Se tasko devas resti en la tunelo de komenco ĝis fino, ĉiu komponanto, kiun ĝi povas atingi, devas esti ene de la politiko: la lanĉilo, la traktilo, la rigardilo, kaj ajna peranto, kiun la platformo enmetas inter ili. Pli vasta kovrado ofte estas la honesta respondo, kaj ĝi estas malpli kosta ol revizii ĉiun kundividan celon.
Ekskludi sisteman peranton por ripari unu aplikaĵon estas ofta eraro. Perantoj estas kundividataj, do la escepto sekvas ĉiun alian aplikaĵon, kiu uzas la saman vojon, kutime sen ke iu rimarkas ĝis raporto alvenas semajnojn poste. Legu, kio alia dependas de la komponanto, antaŭ ol ekskludi ĝin.
Tenu identecon aparte de enkursigo. Ligilo povas porti sesian ĵetonon aŭ kontan identigilon sendepende de tio, kiu eliro ricevas la peton. Ĝuste enkursigita alklako ankoraŭ povas diri al la celo precize, kiu sekvis ĝin.
Dokumentu la laborfluon, ne la unuan markobutonon. Kiam tasko etendiĝas trans kvar programoj, la diagramo kun kvar programoj estas tiu, kiu antaŭdiras, kien la trafiko iras, kaj la agordo por unu aplikaĵo estas nur unu vico de ĝi.