Jagatud tunnel: miks link avaneb väljaspool seadistatud VPN-i
Marsruutimine järgib protsessi, mis pesa avab, mitte rakendust, mis lingi teile näitas. Tõestage, milline programm ühendub, enne kui erandeid laiendate.
Rakenduse tunnelist läbi laskmine ei kanna selle marsruutimist üle kõigele, mida see rakendus käivitab, kuigi liides vihjab vastupidist. Link annab päringu üle teisele programmile, see programm avab oma pesa ja platvorm rakendab reegleid uuele protsessile, mitte sellele, mis teksti kuvas. Just seda teist protsessi näeb tunneli poliitika, ja see ei ole protsess, mille te seadistasite.
Kaasatud rakendus võib seega avada brauseri, mis asub väljaspool tunnelit. Välistatud brauser võib töö tagasi anda rakendusele, mis asub selle sees. Selle üllatuse mõlemad suunad on tavaline käitumine.
Töövoo osa, mida keegi ei seadistanud
Rakendusepõhine poliitika kirjutatakse käivitatava faili või paketi identiteedi vastu ja iga ühendust hinnatakse hetkel, mil see luuakse. Brauser, dokumendivaatur, meediamängija ja süsteemi jagamisleht kannavad igaüks oma identiteeti ning igaüks saab oma otsuse. Sügavlink kannab andmeid, mitte poliitikat.
Seepärast tundub tähelepanek meelevaldne: sama klõps marsruuditakse kahel viisil sõltuvalt sellest, milline käsitleja vastab. Tunnelis olev meilikklient avab lingi brauseris, mis elab väljaspool tunnelit, ja leht laaditakse teie koduaadressilt. Väljaspool tunnelit olev brauser avab dokumendi vaaturis, mis elab selle sees, ja fail saabub väljapääsu kaudu. Kumbki tulemus ei ole kliendi viga.
Juba töötav käsitleja teeb asja hullemaks. Kui brauser on juba avatud, muutub link sõnumiks olemasolevale protsessile ja see protsess säilitab marsruutimise, mis tal käivitumisel oli. Käsitleja sulgemine ja uuesti avamine muudab tulemust, ja seepärast ei kordu probleem kunagi nõudmise peale.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Milline protsess ühenduse tegelikult lõi
Mõõtke vastuvõtvat poolt, selle asemel et selle üle arutleda. Hoidke tunnel üleval, klõpsake kahjutul lingil ja vaadake pesi, mida uus programm hoiab.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
Esimene käsk nimetab protsessi iga loodud pesa taga Linuxis, ja teine teeb sama Windowsis, lahendades omava protsessi identifikaatori. Võrrelge protsessi nime oma poliitikas olevatega. Kui nimi on brauser ja brauser on välistatud, lahkus klõps tunnelist kavatsuslikult, mitte vea tõttu. Poliitikareegli sidumine elava pesaga ongi kogu meetod.
Korrake kontrolli, kui käsitleja juba töötab, ja siis, kui see on suletud. Need kaks tulemust võivad erineda, ja see erinevus seletab enamikku aeg-ajalt laekuvaid teateid tunnelist põgenevate linkide kohta.
Katvus on töövoo omadus
Kui ülesanne peab jääma tunnelisse algusest lõpuni, peab iga komponent, milleni see küünib, olema poliitika sees: käivitaja, käsitleja, vaatur ja iga vahendaja, mille platvorm nende vahele paneb. Laiem katvus on sageli aus vastus ja see on odavam kui iga jagamissihtmärgi auditeerimine.
Süsteemse vahendaja välistamine ühe rakenduse parandamiseks on tavaline viga. Vahendajad on jagatud, seega järgneb erand igale teisele rakendusele, mis sama teed kasutab, tavaliselt ilma et keegi märkaks, kuni nädalaid hiljem saabub teade. Lugege, mis veel komponendist sõltub, enne kui selle välistate.
Hoidke identiteet marsruutimisest eraldi. Link võib kanda sessiooniluba või konto identifikaatorit olenemata sellest, milline väljapääs päringu vastu võtab. Õigesti marsruuditud klõps võib siiski sihtkohale täpselt öelda, kes sellele järgnes.
Dokumenteerige töövoog, mitte esimene märkeruut. Kui ülesanne hõlmab nelja programmi, on nelja programmiga skeem see, mis ennustab, kuhu liiklus läheb, ja ühe rakenduse säte on sellest vaid üks rida.