Jaettu tunneli: miksi linkki avautuu määrittämäsi VPN:n ulkopuolella
Reititys seuraa prosessia, joka avaa pistokkeen, ei sovellusta, joka näytti linkin. Todista, mikä ohjelma yhdistää, ennen kuin laajennat poikkeuksiasi.
Sovelluksen kuljettaminen tunnelin läpi ei siirrä sen reititystä kaikkeen, mitä sovellus käynnistää, vaikka käyttöliittymä antaisi ymmärtää muuta. Linkki luovuttaa pyynnön toiselle ohjelmalle, tämä ohjelma avaa oman pistokkeensa, ja alusta soveltaa sääntöjä uuteen prosessiin eikä siihen, joka näytti tekstin. Juuri tämän toisen prosessin tunnelikäytäntö näkee, eikä se ole se, jonka määritit.
Mukana oleva sovellus voi siis avata selaimen, joka sijaitsee tunnelin ulkopuolella. Pois suljettu selain voi palauttaa työn sovellukselle, joka sijaitsee sen sisällä. Tämän yllätyksen molemmat suunnat ovat tavallista käytöstä.
Työnkulun osa, jota kukaan ei määrittänyt
Sovelluskohtainen käytäntö kirjoitetaan suoritettavan tiedoston tai paketin identiteettiä vasten, ja jokainen yhteys arvioidaan hetkellä, jona se syntyy. Selain, asiakirjojen katselin, mediasoitin ja järjestelmän jakolehti kantavat kukin oman identiteettinsä, ja kukin saa oman tuomionsa. Syvä linkki kuljettaa dataa, ei käytäntöä.
Siksi havainto tuntuu mielivaltaiselta: sama napsautus reitittyy kahdella tavalla riippuen siitä, mikä käsittelijä vastaa. Tunnelissa oleva sähköpostiohjelma avaa linkin selaimessa, joka elää tunnelin ulkopuolella, ja sivu latautuu kodin osoitteestasi. Tunnelin ulkopuolella oleva selain avaa asiakirjan katselimessa, joka elää sen sisällä, ja tiedosto saapuu uloskäynnin kautta. Kumpikaan tulos ei ole asiakasohjelman vika.
Jo käynnissä oleva käsittelijä pahentaa tilannetta. Jos selain on jo auki, linkistä tulee viesti olemassa olevalle prosessille, ja tämä prosessi pitää sen reitityksen, joka sillä oli käynnistyessään. Käsittelijän sulkeminen ja uudelleen avaaminen muuttaa tulosta, ja siksi ongelma ei koskaan toisinna pyynnöstä.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Mikä prosessi itse asiassa teki yhteyden
Mittaa vastaanottavaa puolta sen sijaan että järkeilisit siitä. Pidä tunneli pystyssä, napsauta vaaratonta linkkiä ja katso pistokkeita, joita uusi ohjelma pitää.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
Ensimmäinen komento nimeää prosessin jokaisen muodostetun pistokkeen takana Linuxissa, ja toinen tekee saman Windowsissa ratkaisemalla omistavan prosessin tunnisteen. Vertaa prosessin nimeä käytäntösi nimiin. Jos nimi on selain ja selain on suljettu pois, napsautus poistui tunnelista suunnittelun eikä vian vuoksi. Käytäntösäännön yhdistäminen elävään pistokkeeseen on koko menetelmä.
Toista tarkistus käsittelijän jo käydessä ja sitten suljettuna. Kaksi tulosta voivat poiketa, ja tämä ero selittää useimmat ajoittaiset raportit tunneleista karkaavista linkeistä.
Kattavuus on työnkulun ominaisuus
Jos tehtävän on pysyttävä tunnelissa alusta loppuun, jokaisen komponentin, johon se voi yltää, on oltava käytännön sisällä: käynnistäjä, käsittelijä, katselin ja mikä tahansa välittäjä, jonka alusta asettaa niiden väliin. Laajempi kattavuus on usein rehellinen vastaus, ja se on halvempaa kuin jokaisen jakokohteen auditoiminen.
Järjestelmän välittäjän poissulkeminen yhden sovelluksen korjaamiseksi on tavallinen virhe. Välittäjät ovat jaettuja, joten poissulkeminen seuraa jokaista muuta sovellusta, joka käyttää samaa polkua, yleensä ilman että kukaan huomaa ennen kuin raportti saapuu viikkoja myöhemmin. Lue, mitä muuta komponentista riippuu, ennen kuin suljet sen pois.
Pidä identiteetti erillään reitityksestä. Linkki voi kuljettaa istuntotunnisteen tai tilin tunnisteen riippumatta siitä, mikä uloskäynti pyynnön vastaanottaa. Oikein reititetty napsautus voi silti kertoa kohteelle tarkalleen, kuka sitä seurasi.
Dokumentoi työnkulku, älä ensimmäistä valintaruutua. Kun tehtävä ulottuu neljään ohjelmaan, kaavio, jossa on neljä ohjelmaa, on se, joka ennustaa, minne liikenne menee, ja yhden sovelluksen asetus on siitä vain yksi rivi.