Firefox iniciado nun namespace entregou a URL a unha instancia existente

Un comando execútase dentro do namespace da VPN, aparece unha xanela de Firefox e a páxina segue saíndo pola conexión normal. A configuración do encamiñamento probablemente non é o primeiro que hai que refacer. Comprobe se o comando creou a instancia do navegador que esperaba ou se entregou a URL a unha que xa se estaba executando noutro sitio. Esa distinción explica o resultado nun só paso e aforra unha hora de nftables.

A pista é que a xanela aparece ao instante, sen arranque en frío.

Unha xanela nova non é unha instancia nova

As aplicacións de escritorio adoitan reutilizar un proceso existente. Un lanzador dentro dun namespace de rede non traslada un receptor que xa se executa a ese namespace, porque o receptor nunca formou parte do lanzamento. O comportamento de control remoto de Firefox está asociado aos perfís: lanzar contra un perfil xa en uso entrega os argumentos ao seu propietario. A xanela nova é real; a ruta de rede nova non o é.

A navegación privada e a opción de xanela nova non son controis de illamento de rede.

Tampouco o é unha opción de liña de ordes que só afecte o modo de xanela. Se o perfil está ocupado, a petición vai ao proceso que o posúe, e ese proceso conserva o namespace co que comezou.

Force unha instancia separada nun perfil separado

Use un perfil dedicado creado mediante o fluxo de traballo de perfís compatible do navegador e lánceo explicitamente con ese perfil. Nas compilacións de Firefox que o admiten, --new-instance pide unha instancia nova en lugar dunha xanela dentro dunha existente. Consulte a propia saída de axuda da compilación instalada, porque as opcións dispoñibles varían segundo a versión.

Non intente abrir o mesmo perfil activo á vez nin trate un aviso de perfil en uso como unha instrución para borrar os ficheiros de bloqueo.

Execute o navegador tamén co seu usuario habitual sen root. A configuración de rede adoita necesitar dereitos administrativos, e é tentador dárllelos ao navegador porque forma parte do mesmo experimento. O navegador gráfico non os necesita, e executalo como root crea unha clase aparte de problemas de perfil e permisos. Manteña o privilexio e a ruta de rede como dúas decisións independentes.

Comprobe que proceso transporta o tráfico

En Linux, o namespace de rede dun proceso é visible a través da súa ligazón de namespace. Léao para o proceso que cree que fai a petición e despois para o proceso que realmente a fai.

readlink /proc/ACTUAL_PID/ns/net

Os navegadores executan varios procesos, así que a identidade importa: o proceso de contido que fai a conexión pode non ser o que inspeccionou primeiro. Compare a ligazón co namespace que pretendía e confirme cunha petición nova e inocua que poida atribuír a unha soa instancia. A atribución é toda a proba. Se non pode dicir que proceso fixo a conexión, non probou o namespace.

Cando o namespace é realmente o equivocado

Ás veces o lanzador falla de verdade e a instancia nova arrinca no namespace equivocado. Comprobe o servizo ou envoltorio que a xerou, porque unha unidade ou unha entrada de escritorio pode perder o namespace cando se volve executar a través do bus de sesión. Despois probe de novo desde unha shell dentro do namespace correcto antes de culpar o navegador. Unha variable cada vez é a única forma de que isto siga sendo diagnosticable.

Compartir unha pantalla tampouco comparte un resolvedor.

Se o proceso está no namespace correcto e a resolución de nomes segue fallando,investigue o seu contorno de resolvedor como un problema aparte. Ningún outro cambio de encamiñamento pode trasladar unha petición que se entregou á instancia equivocada antes de que comezase.