Namespace’is käivitatud Firefox andis URL-i olemasolevale eksemplarile

Käsk jookseb VPN-i namespace’i sees, ilmub Firefoxi aken ja leht väljub ikkagi tavalise ühenduse kaudu. Marsruutimise seadistus ei ole tõenäoliselt esimene asi, mida uuesti üles ehitada. Kontrollige, kas käsk lõi oodatud brauseri eksemplari või andis URL-i sellele, mis jooksis juba mujal. See erinevus selgitab tulemust ühe sammuga ja säästab tunni nftables’i tööd.

Tunnus on see, et aken ilmub hetkega, ilma külmkäivituseta.

Uus aken ei ole uus eksemplar

Töölauarakendused kasutavad rutiinselt olemasolevat protsessi uuesti. Ühe võrgu-namespace’i sees olev käivitaja ei vii juba töötavat vastuvõtjat sellesse namespace’i, sest vastuvõtja ei olnud kunagi käivitamise osa. Firefoxi kaugjuhtimise käitumine on seotud profiilidega: juba kasutatava profiili vastu käivitamine annab argumendid selle omanikule. Uus aken on tõeline; uus võrgutee ei ole.

Privaatne sirvimine ja uue akna valik ei ole võrgu isolatsiooni juhtimisvahendid.

Seda ei ole ka käsurealip, mis mõjutab ainult aknarežiimi. Kui profiil on hõivatud, läheb päring protsessile, mis seda omab, ja see protsess hoiab namespace’i, milles ta algas.

Sundige eraldi eksemplar eraldi profiilile

Kasutage brauseri toetatud profiilitöövoo kaudu loodud sihtprofiili ja käivitage see selgesõnaliselt selle profiiliga. Firefoxi build’ides, mis seda toetavad, küsib --new-instance uut eksemplari, mitte akent olemasoleva sees. Vaadake paigaldatud build’i enda abiväljundit, sest saadaolevad lipud erinevad versiooniti.

Ärge proovige sama aktiivset profiili korraga avada ja ärge käsitlege hoiatust, et profiil on kasutusel, juhisena lukustusfaile kustutada.

Käivitage brauser ka oma tavalisest mitte-root kasutajast. Võrgu seadistamine vajab sageli administraatoriõigusi ja kiusatus on anda brauserile samad, sest see on osa samast katsest. Graafiline brauser ei vaja neid ja root’ina käivitamine loob eraldi profiili- ja õigusprobleemide klassi. Hoidke privileeg ja võrgutee kahe sõltumatu otsusena.

Kontrollige, milline protsess kannab liiklust

Linuxis on protsessi võrgu-namespace nähtav selle namespace-lingi kaudu. Lugege seda protsessi jaoks, mis teie arvates päringu teeb, ja seejärel protsessi jaoks, mis seda tegelikult teeb.

readlink /proc/ACTUAL_PID/ns/net

Brauserid käivitavad mitu protsessi, seega on identiteet oluline: ühenduse loov sisuprotsess ei pruugi olla see, mida te esimesena kontrollisite. Võrrelge linki kavandatud namespace’iga ja kinnitage värske kahjutu päringuga, mille saate omistada ühele eksemplarile. Omistamine on kogu test. Kui te ei oska öelda, milline protsess ühenduse lõi, ei ole te namespace’i testinud.

Kui namespace on tõesti vale

Mõnikord nurjub käivitaja tõesti ja uus eksemplar algab vales namespace’is. Kontrollige teenust või mähist, mis selle lõi, sest unit või töölaua kirje võib namespace’i kaotada, kui see seansi bussi kaudu uuesti käivitatakse. Seejärel testige uuesti shellist õige namespace’i sees, enne kui brauserit süüdistate. Üks muutuja korraga on ainus viis, kuidas see diagnoositavaks jääb.

Ekraani jagamine ei jaga ka resolverit.

Kui protsess on õiges namespace’is ja nimede lahendamine ikka ebaõnnestub,uurige selle resolveri keskkonda eraldi probleemina. Ükski teine marsruutimismuudatus ei saa liigutada päringut, mis anti valele eksemplarile enne, kui see üldse algas.