Por que Little Snitch segue listando o navegador baixo unha VPN?

Activas a VPN, abres Little Snitch e o navegador está xusto aí, cunha conexión a un sitio que crías que ía polo túnel. Esa entrada non é proba dunha fuga por si soa. Un monitor local informa de que proceso abriu un socket nesta máquina, e o navegador abriuno; o cliente VPN é un segundo proceso que recolle eses paquetes despois. Ambas as afirmacións son certas á vez, e a pantalla móstrache a primeira.

Que pode atribuír un monitor local e que non

A atribución ocorre no socket. O núcleo sabe que proceso posúe unha conexión, así que Little Snitch pode etiquetar unha entrada co nome da aplicación con gran confianza. O que non ve por defecto é a conexión exterior que a VPN constrúe arredor dese tráfico, porque pertence a outro proceso.

Os nomes de dominio son un sinal máis feble do que parecen. Nunha conexión HTTPS o nome pode vir dunha consulta DNS, do nome de servidor ofrecido durante o handshake ou dunha busca inversa do enderezo, segundo o que observase o sistema. Nada diso require descifrar a páxina, e nada demostra a onde foron os bytes despois.

Así que a entrada do navegador responde a quen, non a onde. Trátaa como dato de atribución e obtén o onde desde outra vista.

Paso un: comeza cunha ventá baleira en lugar de desprazar o historial

As entradas vellas non poden dicirche que fai a configuración actual. Cambia o filtro de tempo a Desde agora, ou preme Command-K, para que a ventá mostre só as conexións que aparezan despois dese momento.

Despois fai exactamente unha cousa inofensiva na aplicación que investigas, como cargar unha páxina que tes permitido cargar. Unha acción, un momento, para que as entradas que aparezan se poidan ligar a ela sen adiviñar. Espera un segundo ou dous tras completarse, porque cargar unha páxina produce unha refolada de conexións e non unha soa. Ler a lista mentres aínda se enche garante que xulgarás mal a orde.

Antes de ler o resultado, comproba se un campo de busca ou un filtro de estado está estreitando a lista. Un filtro que quedou dunha sesión anterior é a razón máis común de que unha conexión pareza faltar cando só está oculta, e tamén de que dúas persoas que miran a mesma máquina non coincidan no que ocorre.

Paso dous: inclúe as conexións das extensións para ver o túnel

O cliente VPN nunha versión actual de macOS adoita ser unha extensión de rede e non unha aplicación corrente. Activa Mostrar extensións de rede no Monitor e as conexións que fai esa extensión vólvense visibles xunto a todo o demais.

Agora as dúas capas pódense ler xuntas. O navegador é a orixe da petición e a extensión é o transporte que a leva. Ver ambas é normal e esperable; ver só a extensión adoita significar que a vista está filtrada, mentres que ver só a aplicación adoita significar que a vista de extensións está desactivada.

Ningunha vista por si soa inventaría todo o camiño. As regras de encamiñamento, o comportamento do DNS e calquera excepción por aplicación viven fóra da lista de conexións, así que unha resposta completa esixe comprobalas por separado.

Paso tres: distingue unha conexión directa real dun efecto de pantalla

Se sospeitas que un destino concreto sae directamente, nomea ese destino e compróbao pola súa conta. Mira a configuración de encamiñamento e bloqueo do propio cliente VPN para ese host ou aplicación, e confirma se se supón que debe estar excluído.

O que non deberías facer é bloquear como resposta cada entrada visible do navegador. O navegador ten que facer igualmente as súas conexións, e bloquealas no monitor non as redirixe ao túnel; só as detén. Iso converte unha pregunta de diagnóstico nunha caída. Se unha regra parece necesaria, limítaa ao único destino que poidas xustificar, cunha nota sobre por que existe.

A mesma precaución vale para a columna do dominio. Un nome que te sorprenda pode ser un nome de host compartido, un punto de entrega de contido ou unha consulta que ocorreu antes de que o túnel se erguese, e tratalo como proba dunha fuga leva a regras que rompen tráfico que funciona.

Paso catro: mantén a vista e a regra separadas

Cada cambio neste exercicio altera o que mostra o monitor. Ningún altera o que permite a devasa, e ningún move tráfico cara ao túnel nin fóra del.

Cando remates, devolve os filtros a un estado que poidas explicar, para que a seguinte persoa que abra a ventá non lea unha vista que deixaches atrás. Se a pregunta era se un destino vai polo túnel, respóndea desde os axustes de encamiñamento e exclusións, e despois usa o monitor para confirmar o resultado en vez de adiviñalo.