Túnel dividido: por que unha ligazón se abre fóra da VPN que configurou
O enrutamento segue o proceso que abre o socket, non a aplicación que lle mostrou a ligazón. Demostre que programa se conecta antes de ampliar as súas exclusións.
Encamiñar unha aplicación por un túnel non arrastra o seu enrutamento a todo o que esa aplicación lanza, aínda que a interface suxira o contrario. Unha ligazón entrega unha petición a outro programa, ese programa abre o seu propio socket e a plataforma aplica as regras ao proceso novo en lugar de ao que mostrou o texto. Ese segundo proceso é o que ve realmente a política do túnel, e non é o que configurou.
Unha aplicación incluída pode, por tanto, abrir un navegador que queda fóra do túnel. Un navegador excluído pode devolver traballo a unha aplicación que queda dentro. As dúas direccións desa sorpresa son comportamento normal.
A parte do fluxo de traballo que ninguén configurou
A política por aplicación escríbese contra a identidade dun executábel ou dun paquete, e cada conexión avalíase no momento en que se crea. O navegador, o visor de documentos, o reprodutor multimedia e a folla de compartir do sistema levan cada un a súa propia identidade, e cada un recibe o seu propio veredicto. Unha ligazón profunda transporta datos, non política.
Por iso a observación parece arbitraria: o mesmo clic encamíñase de dúas maneiras segundo que xestor o responda. Un cliente de correo dentro do túnel abre unha ligazón nun navegador que vive fóra do túnel, e a páxina cárgase desde o seu enderezo de casa. Un navegador fóra do túnel abre un documento nun visor que vive dentro, e o ficheiro chega pola saída. Ningún dos dous resultados é un fallo do cliente.
Un xestor que xa se está a executar empeórao. Se o navegador xa está aberto, a ligazón convértese nunha mensaxe a un proceso existente, e ese proceso conserva o enrutamento que tiña ao arrincar. Pechar e volver abrir o xestor cambia o resultado, e por iso o problema nunca se reproduce a demanda.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Que proceso fixo realmente a conexión
Mida o lado que recibe en lugar de razoar sobre el. Manteña o túnel activo, faga clic nunha ligazón inofensiva e mire os sockets que ten o programa novo.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
O primeiro comando nomea o proceso que hai detrás de cada socket establecido en Linux, e o segundo fai o mesmo en Windows resolvendo o identificador do proceso propietario. Compare o nome do proceso cos da súa política. Se o nome é o navegador e o navegador está excluído, o clic saíu do túnel por deseño e non por unha falla. Emparellar unha regra de política cun socket vivo é todo o método.
Repita a comprobación co xestor xa en marcha e despois con el pechado. Os dous resultados poden diferir, e esa diferenza explica a maioría dos informes intermitentes sobre ligazóns que escapan dun túnel.
A cobertura é unha propiedade do fluxo de traballo
Se unha tarefa debe permanecer dentro do túnel de principio a fin, cada compoñente que poida alcanzar ten que estar dentro da política: o lanzador, o xestor, o visor e calquera intermediario que a plataforma insira entre eles. Unha cobertura máis ampla adoita ser a resposta honesta, e sae máis barata que auditar cada destino de compartir.
Excluír un intermediario do sistema para arranxar unha aplicación é un erro habitual. Os intermediarios compártense, así que a exclusión segue todas as demais aplicacións que usan a mesma ruta, normalmente sen que ninguén o note ata que chega un informe semanas despois. Lea que máis depende do compoñente antes de excluílo.
Manteña a identidade separada do enrutamento. Unha ligazón pode levar un token de sesión ou un identificador de conta, independentemente de que saída reciba a petición. Un clic ben encamiñado aínda pode dicirlle ao destino exactamente quen o seguiu.
Documente o fluxo de traballo, non a primeira caixa. Cando unha tarefa abrangue catro programas, o diagrama con catro programas é o que predí por onde vai o tráfico, e o axuste dunha soa aplicación é só unha fila dese diagrama.