Ferdield tunele: wêrom't in keppeling bûten de VPN iepenet dy't jo ynsteld hawwe
Rûteleas folget it proses dat de socket iepenet, net de app dy't jo de keppeling toande. Bewiis hokker programma ferbynt foardat jo jo útsûnderings ferbreedzje.
In app troch in tunele stjoere bringt syn rûteleas net mei nei alles wat dy app start, ek al suggerearret de ynterface it tsjinoerstelde. In keppeling jout in oanfraach oer oan in oar programma, dat programma iepenet syn eigen socket, en it platfoarm past de regels ta op it nije proses ynstee fan op dat dat de tekst toande. Dat twadde proses is wat it tunelebelied echt sjocht, en it is net it proses dat jo ynsteld hawwe.
In ynsluten app kin dus in browser iepenje dy't bûten de tunele stiet. In útsluten browser kin wurk weromjaan oan in app dy't der binnenyn stiet. Beide rjochtingen fan dy ferrassing binne gewoan gedrach.
It part fan 'e wurkstream dat nimmen ynsteld hat
Belied per app wurdt skreaun tsjin 'e identiteit fan in útfierber bestân of pakket, en elke ferbining wurdt beoardiele op it stuit dat dy makke wurdt. De browser, de dokumintbeskôger, de mediaspiler en it dielblêd fan it systeem drage elk har eigen identiteit, en elk krijt syn eigen oardiel. In djippe keppeling draacht gegevens, gjin belied.
Dêrom fielt de waarnimming willekeurich: deselde klik wurdt twa kanten op rûteleas jûn, ôfhinklik fan hokker behanneler antwurdet. In e-postkliïnt yn 'e tunele iepenet in keppeling yn in browser dy't bûten de tunele libbet, en de side lûkt fan jo thúsadres. In browser bûten de tunele iepenet in dokumint yn in beskôger dy't der binnenyn libbet, en it bestân komt troch de útgong. Gjin fan 'e beide resultaten is in flater yn 'e kliïnt.
In behanneler dy't al draait makket it slimmer. As de browser al iepen is, wurdt de keppeling in berjocht oan in besteand proses, en dat proses hâldt de rûteleas dy't it hie doe't it begûn. It sluten en wer iepenjen fan 'e behanneler feroaret de útslach, en dêrom werhellet it probleem him nea op oanfraach.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Hokker proses makke echt de ferbining
Mjit de ûntfangende kant ynstee fan der oer te riddenearjen. Hâld de tunele oan, klik op in ûnskuldige keppeling, en sjoch nei de sockets dy't it nije programma hâldt.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
It earste kommando neamt it proses efter elke fêstige socket op Linux, en it twadde docht itselde op Windows troch de identifikaasje fan it eigendomsproses op te lossen. Ferlykje de prosesnamme mei dy yn jo belied. As de namme de browser is en de browser is útsluten, hat de klik de tunele mei opsetsin ferlitten en net troch in flater. In beliedsregel keppelje oan in libbene socket is de hiele metoade.
Werhelje de kontrôle mei de behanneler al draaiend, en dêrnei mei dy sletten. De twa resultaten kinne ferskille, en dat ferskil ferklearret de measte sporadyske rapporten oer keppelings dy't út in tunele ûntsnappe.
Dekking is in eigenskip fan 'e wurkstream
As in taak fan begjin oant ein yn 'e tunele bliuwe moat, moat elk komponint dat it berikke kin yn it belied wêze: de lansearder, de behanneler, de beskôger en elk tuskenpersoan dat it platfoarm der tusken set. Bredere dekking is faaks it earlike antwurd, en it is goedkeaper as it auditearjen fan elk dieldoel.
In systeemtuskenpersoan útslute om ien applikaasje te reparearjen is in algemiene flater. Tuskenpersoanen wurde dield, dus de útsûndering folget elke oare app dy't deselde paad brûkt, meastentiids sûnder dat immen it merkt oant in rapport wiken letter komt. Lês wat oars fan it komponint ôfhinklik is foardat jo it útslute.
Hâld identiteit los fan rûteleas. In keppeling kin in sesjetoken of in akkountidentifikaasje drage, hokker útgong it oanfraach ek ûntfangt. In goed rûteleasjûn klik kin it bestimming noch altyd krekt fertelle wa't him folge.
Dokumintearje de wurkstream, net it earste kontrôlefak. As in taak oer fjouwer programma's rint, is it diagram mei fjouwer programma's it iene dat foarspeget wêr't it ferkear hinne giet, en de ynstelling foar ien app is dêrfan mar ien rige.