פתיחת דפדפן שני אינה יוצרת נתיב VPN שני

שני דפדפנים, שני חלונות, אחד בחשבון העבודה ואחד בחשבון אישי, וההנחה היא שהם עוברים כעת בנתיבים שונים. הם לא. הפרדת פרופילים מחזיקה קובצי Cookie בנפרד, בעוד שהחלטת הניתוב מתקבלת מתחת לדפדפן ואינה יודעת איזה פרופיל שאל. נתיב שני דורש כלל שבוחר אותו, ויש רק מעט מקומות שבהם כלל כזה יכול לחיות.

הפרדת מצב אינה הפרדת נתיב

פרופיל דפדפן מבודד אחסון: קובצי Cookie, היסטוריה, תוספים ולפעמים פרטי התחברות. הבידוד הזה נאכף בתוך עץ תהליכים אחד ואין לו מה לומר על איזו ממשק נושא חבילה.

חלונות פרטיים הולכים רחוק יותר במראה ולא צעד אחד יותר בניתוב. כל מה שהדפדפן שולח עדיין יוצא בנתיב שבחר מערכת ההפעלה, אלא אם משהו בין השקע לרשת משנה אותו. ערבוב בידוד אחסון עם בידוד רשת יוצר ציפיות שאף יצרן דפדפן לא הבטיח ואף בדיקה לא יכולה לספק.

מה באמת בוחר נתיב

ארבעה דברים יכולים לבחור נתיב אחר: כלל VPN לכל יישום שמתאים לקובץ ההרצה או לחבילה, פרוקסי שמוגדר בתוך הדפדפן או המערכת, מרחב שמות של רשת או מכולה, והתקן פיזי שני. כל אחד מהם משנה משהו אמיתי, ולכל אחד יש מחיר.

כלל לכל יישום הוא התשובה הרגילה בפלטפורמות ניידות, שבהן שירות ה-VPN מקבל רשימת חבילות. במחשב שולחני זה תלוי בלקוח, וכלל שמתאים לקובץ ההרצה מכסה כל פרופיל שהקובץ הזה פותח. אם שני פרופילים באמת זקוקים לנתיבים שונים, הם בדרך כלל זקוקים לשני תהליכים עם זהויות שונות ולא לשתי לשוניות. לכן התקנה משותפת של דפדפן לעולם אינה יכולה להיות הגבול בתכנון לפי פרופילים.

פרוקסי ברמת היישום מוסיפים מתווך נוסף

הגדרת פרוקסי בדפדפן אכן יוצרת נתיב נפרד, והיא גם יוצרת יחסי אמון נפרדים עם מי שמפעיל את הפרוקסי. זה הסדר לגיטימי לפרופיל אחד, והוא אינו שווה ערך לכיסוי של כל ההתקן.

בחרו את הפרוקסי בכוונה: מאזין SOCKS באותו מארח, פרוקסי מאומת בתוך המנהרה, או שירות מרוחק. ערבוב פרוקסי עם VPN במנהרה מלאה יוצר נתיבים מקוננים שבהם מצבי הכשל מתרבים.

אמתו את הבקשה האמיתית של כל דפדפן

שלחו את אותה בקשה מכל דפדפן והשוו את כתובת היציאה שנצפתה, במקום להשוות את דפי ההגדרות. פרוקסי מוגדר שנכשל בשקט בהתחברות הוא דרך נפוצה מאוד לחזור לנתיב ברירת המחדל.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --proxy socks5h://127.0.0.1:1080 https://api.ipify.org
dig +short example.com

לאחר מכן חזרו על הבקשה עם פרוקסי כפוי ועם המנהרה כבויה, כדי לראות איזו שכבה באמת נושאת את התעבורה. רשמו גם את תשובת ה-DNS, כי דפדפן עם פותר מוצפן משלו יכול לעקוף לגמרי את נתיב המערכת ועדיין להציג את הדף שציפיתם לו.

רשמו את המיפוי המיועד בשתי שורות: איזה תהליך משתמש באיזה נתיב, ומי הבעלים של כל אחד מהם. שמרו גם על זהויות החשבונות בטווח הראייה, משום ששני נתיבים אינם מונעים הצגת אותה התחברות בפני שני היעדים. בדקו שוב לאחר עדכון הדפדפן הבא, משום שהגדרת פרוקסי הולכת לאיבוד בקלות וקשה להבחין בה.