¿Por qué Little Snitch sigue mostrando el navegador bajo una VPN?

Activas la VPN, abres Little Snitch y el navegador está justo ahí, con una conexión a un sitio que creías que iba por el túnel. Esa entrada no es prueba de una fuga por sí sola. Un monitor local informa de qué proceso abrió un socket en esta máquina, y el navegador lo abrió; el cliente VPN es un segundo proceso que recoge esos paquetes después. Ambas afirmaciones son ciertas a la vez, y la pantalla te muestra la primera.

Qué puede atribuir un monitor local y qué no

La atribución ocurre en el socket. El núcleo sabe qué proceso posee una conexión, así que Little Snitch puede etiquetar una entrada con el nombre de la aplicación con gran confianza. Lo que no ve por defecto es la conexión exterior que la VPN construye alrededor de ese tráfico, porque pertenece a otro proceso.

Los nombres de dominio son una señal más débil de lo que parecen. En una conexión HTTPS el nombre puede venir de una consulta DNS, del nombre de servidor ofrecido durante el handshake o de una búsqueda inversa de la dirección, según lo que haya observado el sistema. Nada de eso requiere descifrar la página, y nada demuestra adónde fueron los bytes después.

Así que la entrada del navegador responde a quién, no a dónde. Trátala como dato de atribución y obtén el dónde desde otra vista.

Paso uno: empieza con una ventana vacía en lugar de desplazar el historial

Las entradas antiguas no pueden decirte qué hace la configuración actual. Cambia el filtro de tiempo a Desde ahora, o pulsa Command-K, para que la ventana muestre solo las conexiones que aparezcan después de ese momento.

Luego haz exactamente una cosa inocua en la aplicación que investigas, como cargar una página que tengas permitido cargar. Una acción, un momento, para que las entradas que aparezcan se puedan ligar a ella sin adivinar. Espera un segundo o dos tras completarse, porque cargar una página produce una ráfaga de conexiones y no una sola. Leer la lista mientras aún se llena garantiza que juzgarás mal el orden.

Antes de leer el resultado, comprueba si un campo de búsqueda o un filtro de estado está estrechando la lista. Un filtro que quedó de una sesión anterior es la razón más común de que una conexión parezca faltar cuando solo está oculta, y también de que dos personas que miran la misma máquina no coincidan en lo que ocurre.

Paso dos: incluye las conexiones de las extensiones para ver el túnel

El cliente VPN en una versión actual de macOS suele ser una extensión de red y no una aplicación corriente. Activa Mostrar extensiones de red en el Monitor y las conexiones que hace esa extensión se vuelven visibles junto a todo lo demás.

Ahora las dos capas se pueden leer juntas. El navegador es el origen de la petición y la extensión es el transporte que la lleva. Ver ambas es normal y esperable; ver solo la extensión suele significar que la vista está filtrada, mientras que ver solo la aplicación suele significar que la vista de extensiones está desactivada.

Ninguna vista por sí sola inventaría todo el camino. Las reglas de enrutamiento, el comportamiento del DNS y cualquier excepción por aplicación viven fuera de la lista de conexiones, así que una respuesta completa exige comprobarlas por separado.

Paso tres: distingue una conexión directa real de un efecto de pantalla

Si sospechas que un destino concreto sale directamente, nombra ese destino y compruébalo por su cuenta. Mira la configuración de enrutamiento y bloqueo del propio cliente VPN para ese host o aplicación, y confirma si se supone que debe estar excluido.

Lo que no deberías hacer es bloquear como respuesta cada entrada visible del navegador. El navegador tiene que hacer igualmente sus conexiones, y bloquearlas en el monitor no las redirige al túnel; solo las detiene. Eso convierte una pregunta de diagnóstico en una caída. Si una regla parece necesaria, limítala al único destino que puedas justificar, con una nota sobre por qué existe.

La misma precaución vale para la columna del dominio. Un nombre que te sorprenda puede ser un nombre de host compartido, un endpoint de entrega de contenido o una consulta que ocurrió antes de que el túnel se levantara, y tratarlo como prueba de una fuga lleva a reglas que rompen tráfico que funciona.

Paso cuatro: mantén la vista y la regla separadas

Cada cambio de este ejercicio altera lo que muestra el monitor. Ninguno altera lo que permite el cortafuegos, y ninguno mueve tráfico hacia el túnel ni fuera de él.

Cuando termines, devuelve los filtros a un estado que puedas explicar, para que la siguiente persona que abra la ventana no lea una vista que dejaste atrás. Si la pregunta era si un destino va por el túnel, respóndela desde los ajustes de enrutamiento y exclusiones, y luego usa el monitor para confirmar el resultado en vez de adivinarlo.