Tunel zatitua: zergatik irekitzen den esteka VPN ezarritakoaren kanpoan
Bideratzeak socket-a irekitzen duen prozesua jarraitzen du, esteka erakutsi zizun aplikazioa ez. Frogatu zein programak konektatzen duen zure bazterketak zabaldu aurretik.
Aplikazio bat tuneletik pasatzeak ez du bere bideratzea eramaten aplikazio horrek abiarazten duen guztiara, interfazeak kontrakoa iradokitzen badu ere. Esteka batek eskaera beste programa bati ematen dio, programak bere socket-a irekitzen du, eta plataformak arauak prozesu berriari aplikatzen dizkio, testua erakutsi zuenari ez. Bigarren prozesu hori da tunelaren politikak benetan ikusten duena, eta ez da zuk ezarritakoa.
Beraz, aplikazio barne-hartu batek tuneletik kanpo dagoen nabigatzaile bat ireki dezake. Baztertutako nabigatzaile batek lana bertan dagoen aplikazio bati itzul diezaioke. Ustekabe horren bi noranzkoak portaera arrunta dira.
Inork konfiguratu ez zuen lan-fluxuaren zatia
Aplikazio bakoitzeko politika exekutagarri baten edo pakete baten identitatearen aurka idazten da, eta konexio bakoitza sortzen den unetan ebaluatzen da. Nabigatzaileak, dokumentu-ikusgailuak, multimedia-erreproduzigailuak eta sistemaren partekatze-orriak bakoitzak bere identitatea du, eta bakoitzak bere epaia jasotzen du. Esteka sakonek datuak dakartza, ez politika.
Horregatik ematen du behaketak hautazkoak: klik berak bi bide hartzen ditu, zein kudeatzailerentzako erantzuten duen arabera. Tunelean dagoen posta-bezero batek tuneletik kanpo bizi den nabigatzailean irekitzen du esteka, eta orria zure etxeko helbidetik kargatzen da. Tuneletik kanpoko nabigatzaile batek barruan bizi den ikusgailuan irekitzen du dokumentua, eta fitxategia irteeratik iristen da. Bi emaitzetako bat ere ez da bezeroaren akatsa.
Dagoeneko exekutatzen ari den kudeatzaile batek okerrera egiten du. Nabigatzailea jada irekita badago, esteka lehendik dagoen prozesu bati mezu bihurtzen zaio, eta prozesu horrek abiaraztean zuen bideratzea mantentzen du. Kudeatzailea itxi eta berriro irekitzeak emaitza aldatzen du, eta horregatik ez da arazoa inoiz eskaeran errepikatzen.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Zein prozesuk egin zuen konexioa benetan
Neurtu jasotzen duen aldea, hari buruz arrazoitu beharrean. Eutsi tunelari, klikatu esteka kaltegabe bat, eta begiratu programa berriak dituen socket-ei.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
Lehen aginduak Linux-en ezarritako socket bakoitzaren atzean dagoen prozesua izendatzen du, eta bigarrenak gauza bera egiten du Windows-en, prozesu jabedunaren identifikatzailea ebatziz. Alderatu prozesuaren izena zure politikan dauden izenekin. Izena nabigatzailea bada eta nabigatzailea baztertuta badago, klikak tuneletik diseinuagatik irten zuen, ez akatsengatik. Politika-arau bat socket bizirik batekin parekatzea da metodo osoa.
Errepikatu egiaztapena kudeatzailea jada exekutatzen ari dela, eta gero itxita dagoela. Bi emaitzek desberdinak izan daitezke, eta desberdintasun horrek azaltzen ditu tuneletik ihes egiten duten estekei buruzko txosten intermitente gehienak.
Estaldura lan-fluxuaren propietatea da
Zeregin batek hasieratik amaierara tunelean egon behar badu, har dezakeen osagai bakoitzak politikaren barruan egon behar du: abiarazleak, kudeatzaileak, ikusgailuak eta plataformak bien artean sartzen duen bitartekari orok. Estaldura zabalagoa izan ohi da erantzun zintzoa, eta partekatze-helburu bakoitza ikuskatzea baino merkeagoa da.
Sistema-bitartekari bat baztertzea aplikazio bat konpontzeko ohiko akatsa da. Bitartekariak partekatuak dira, beraz bazterketak bide bera erabiltzen duen beste edozein aplikazio jarraitzen du, normalean inork aste batzuk geroago txostena iritsi arte ohartu gabe. Irakurri zer gehiago dagoen osagaiaren mende, hura baztertu aurretik.
Eduki identitatea bideratzetik bereizita. Esteka batek saio-token bat edo kontu-identifikatzaile bat eraman dezake, eskaera zein irteerak jasotzen duen edozein dela ere. Ongi bideratutako klik batek helmugari oraindik ere esan diezaioke zehazki nor aritu zen jarraitzen.
Dokumentatu lan-fluxua, ez lehen kontrol-laukia. Zeregin batek lau programa hartzen dituenean, lau programa dituen diagrama da trafikoa nora doan iragartzen duena, eta aplikazio bakarreko ezarpena haren errenkada bat baino ez da.