De SOCKS-modus fan NetGuard dekt TCP, net elk protokol

NetGuard beset Android syn VPN-ynterface om ferkear te filterjen, en it kin stipe ferbiningen oan in SOCKS-einpunt oerlitte. Dizze beide feiten wurde faak lêzen as “de tillefoan is op in VPN”, in konklúzje dy't it meganisme net stipet. It filter sjocht pakketten; de proxy sjocht allinnich de ferbiningen dy't der echt oan oerlitten binne. Tusken dy beide bewearings leit de hiele fraach fan dekking.

De FAQ fan it oarspronklike projekt dokumintearret sawol de beheining ta ien tsjinst as de SOCKS-opsje. It bestean fan de opsje is gjin bewiis dat elk tastien pakket dy brûkt, en krekt út dy kleau komme de dekkingsfragen.

Twa trochstjoerrûtes yn ien app

De TCP-kant fan de ymplemintaasje befettet SOCKS-ferbiningsôfhanneling, sadat in tastiene TCP-ferbining mei de proxy ôfhannele en der trochhinne ferfierd wurde kin. De UDP-kant hat in aparte socketrûte, en de ôfhanneling fan ferstjoeren en ûntfangen hinget net fan dy TCP-ôfhanneling ôf. In datagram dat it filter tastiet, kin dêrom it gewoane netwurk berikke sûnder ea troch de proxy te gean. Neat dêroan is in defekt fan 'e app; it is gewoan wat de beide rûtes ymplemintearje.

Dizze ûnderskieding hat in gefolch dat minsken yn beide rjochtingen ferkeard beskreauwe. Elk UDP-pakket in lek neame negearret de blokkearregels, om't in wegere datagram nea fuortgiet. It hiele arranzjemint in VPN neame negearret de tastiene direkte rûte, om't in part fan it ferkear wol sûnder proxy fuortgiet. Wat jo hawwe, is in filtere apparaat mei foar in part proxy, en de earlike beskriuwing is in matrix, net in etiket.

UDP advertearje is it net ymplemintearje

In SOCKS-tsjinner dy't UDP-stipe beweart, foeget de byhearrende klientkant-ôfhanneling net ta oan de app op jo tillefoan. De teoretyske funksjes fan it protokol en it gedrach fan 'e ynstallearre ferzje binne ferskate ûnderwerpen, en allinnich it twadde beskriuwt jo ferkear.

Kontrolearje de ferzje en konfiguraasje dy't jo echt rinne, test dan in harmless datagram-stream en observearje oft dy by de proxy ferskynt. Al it oare is in konklúzje út in funksjelist, en funksjelisten beskriuwe bedoelingen, net kodepaden.

DNS is in tredde paad, net in detail

Namme-oplossing foeget syn eigen tûke ta oan 'e matrix. In lokale DNS-trochstjoerder, in gewoane UDP-query, in bestimming-hostnamme dy't de proxy sels oplost en in fersifere oplosser yn 'e browser binne fjouwer ferskate arranzjeminten. Se ferskille yn wa't de query sjocht en hokker netwurkpaad dy draacht, en it mingjen fan harren leveret in test op dy't neat oer de oaren bewiist.

Beslis bewust hokker jo wolle. As de eask is dat nammen troch de tunnel oplost wurde, sil in browserynstelling allinnich dat net leverje, en in proxy dy't hostnammen sels oplost feroaret it antwurd allinnich foar ferbiningen dy't er echt behannelet.

It ferfier fia de proxy is net fansels privee

Gewoane SOCKS is gjin fersifere skeakel fan tillefoan nei proxy. As it einpunt fia in oar beskerme paad berikt wurdt, neam dat paad en syn flaterbelied, om't in weromfal nei it iepen netwurk in privee-arranzjemint sûnder warskôging iepenbier makket. De eigen autentikaasje fan 'e proxy telt ek: in iepen harker op in dielde apparaat is in tsjinst dêr't nimmen ferantwurding foar docht.

Arranzjeminten tusken profilen fertsjinje itselde ûndersyk. In VPN fan in wurkprofyl beskermet allinnich it ferkear dat syn paad brûkt, en it neistinoar bestean fan in firewall fan in persoanlik profyl en in wurktunnel bewiist net dat de fierdere ferbining fan 'e firewall dy tunnel berikt. Ferifiearje berikberens en autentikaasje ynstee fan oan te nimmen dat de beide profilen gearwurkje.

Audit dekking mei in matrix, net mei in side werjaan

Kies foar in autorisearre evaluaasje harmless foarbylden dy't elke klasse fertsjintwurdigje dy't jo oanbelangje: fereaske TCP, tastiene UDP en DNS yn beide adresfamyljes. Registrearje foar elk oft it proxied, blokkearre of direkt ferstjoerd waard. Dy iene tabel is it leveringsprodukt, en it is folle nuttiger as in skermprint fan in side dy't laden is.

As de eask is dat al it selektearre applikaasjeferkear in remote tunnel trochgiet, kies dan in ymplemintaasje mei eksplisyt stipe kombinearre filtering en tunnelling. In komposysje mei allinnich TCP-proxy bliuwt nuttich foar nauwere taken, mits it oare ferkear mei opset behannele wurdt ynstee fan fergetten.