Teise brauseri avamine ei loo teist VPN-marsruuti

Kaks brauserit, kaks akent, üks töökontol ja teine isiklikul kontol, ja eeldus on, et nüüd kulgevad nad eri teid. Ei kulge. Profiilide eraldamine hoiab küpsised lahus, samas kui marsruudiotus tehakse brauseri all ja ei tea, milline profiil küsis. Teine tee vajab reeglit, mis selle valib, ja kohti, kus see reegel saab elada, on vaid üksikuid.

Oleku eraldamine ei ole tee eraldamine

Brauseri profiil isoleerib salvestusruumi: küpsised, ajaloo, laiendused ja mõnikord volitusandmed. See isolatsioon kehtestatakse ühe protsessipuu sees ega ütle midagi selle kohta, milline liides paketti kannab.

Privaatsed aknad lähevad välimuses kaugemale ja marsruutimises mitte sammugi. Kõik, mida brauser saadab, väljub endiselt operatsioonisüsteemi valitud teed, kui just miski pistiku ja võrgu vahel seda ei muuda. Salvestusruumi isolatsiooni segamine võrgu isolatsiooniga tekitab ootusi, mida ükski brauseritootja ei ole lubanud ja mida ükski test ei suuda täita.

Mis tegelikult marsruudi valib

Neli asja võivad valida teise tee: rakendusepõhine VPN-reegel, mis vastab käivitatavale failile või paketile, brauseri või süsteemi sees seadistatud puhverserver, võrgu nimeruum või konteiner, ja teine füüsiline seade. Igaüks neist muudab midagi tõelist ja igal on oma hind.

Rakendusepõhine reegel on mobiilplatvormidel tavaline vastus, kus VPN-teenus saab pakettide nimekirja. Töölaual sõltub see kliendist, ja käivitatava failiga sobiv reegel katab iga profiili, mille see fail avab. Kui kaks profiili tõesti vajavad erinevaid teid, vajavad nad tavaliselt kahte erineva identiteediga protsessi, mitte kahte vahekaarti. Seetõttu ei saa jagatud brauseri paigaldus profiilipõhises disainis kunagi olla piiriks.

Rakendustasandi puhverserverid lisavad veel ühe vahendaja

Puhverserveri seade brauseris loob tõepoolest eraldi tee ja loob ka eraldi usaldussuhte sellega, kes puhverserverit haldab. See on ühe profiili jaoks seaduslik korraldus ja see ei võrdu kogu seadme katvusega.

Vali puhverserver teadlikult: SOCKS-kuulaja samas hostis, autenditud puhverserver tunnelis või kaugteenus. Puhverserveri segamine täistunneliga VPN-iga tekitab pesastatud teid, kus tõrkerežiimid paljunevad.

Kontrolli iga brauseri tegelikku päringut

Saada sama päring igast brauserist ja võrdle täheldatud väljumisaadressi, selle asemel et võrrelda seadete lehti. Seadistatud puhverserver, mis vaikselt ei ühendu, on väga levinud viis jõuda tagasi vaiketeel.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --proxy socks5h://127.0.0.1:1080 https://api.ipify.org
dig +short example.com

Seejärel korda päringut sunnitud puhverserveriga ja suletud tunneliga, et näha, milline kiht tegelikult liiklust kannab. Kirjuta üles ka DNS-vastus, sest oma krüpteeritud lahendajaga brauser võib süsteemi teest täiesti mööda minna ja siiski näidata lehekülge, mida ootasid.

Kirjuta kavandatud vastavus kahele reale: milline protsess kasutab millist teed ja kellele kumbki kuulub. Hoia silm peal ka kontode identiteetidel, sest kaks teed ei takista sama sisselogimise esitamist mõlemale sihtkohale. Testi uuesti pärast järgmist brauseri uuendust, sest puhverserveri seadet on lihtne kaotada ja raske märgata.