למה Little Snitch עדיין מציג את הדפדפן תחת VPN?

אתם מפעילים את ה-VPN, פותחים את Little Snitch, והדפדפן שם מיד, עם חיבור לאתר שחשבתם שהוא עובר דרך המנהרה. הרשומה הזו כשלעצמה אינה הוכחה לדליפה. צג מקומי מדווח איזה תהליך פתח שקע במחשב הזה, והדפדפן אכן פתח אותו; לקוח ה-VPN הוא תהליך שני שאוסף את החבילות האלה לאחר מכן. שתי הקביעות נכונות בו-זמנית, והתצוגה מראה לכם את הראשונה.

מה צג מקומי יכול לייחס ומה לא

הייחוס מתרחש בשקע. הליבה יודעת איזה תהליך מחזיק בחיבור, ולכן Little Snitch יכול לתייג רשומה בשם האפליקציה בביטחון גבוה. מה שהוא לא רואה כברירת מחדל הוא החיבור החיצוני שה-VPN בונה סביב התעבורה הזו, מפני שזה שייך לתהליך אחר.

שמות מתחם הם אות חלש מכפי שהם נראים. בחיבור HTTPS השם עשוי לבוא משאילת DNS, משם השרת שהוצע במהלך לחיצת היד, או מחיפוש הפוך של הכתובת, בהתאם למה שהמערכת צפתה בו. שום דבר מזה לא דורש פענוח של העמוד, ושום דבר מזה לא מוכיח לאן הבייטים הלכו לאחר מכן.

לכן רשומת הדפדפן עונה על מי, לא על לאן. התייחסו אליה כאל נתוני ייחוס ואת הלאן קחו מתצוגה אחרת.

צעד ראשון: התחילו מחלון ריק במקום לגלול בהיסטוריה

רשומות ישנות לא יכולות לספר לכם מה התצורה הנוכחית עושה. החליפו את מסנן הזמן למעכשיו ואילך, או לחצו Command-K, כדי שהחלון יציג רק חיבורים שמופיעים אחרי אותו רגע.

אחר כך עשו בדיוק דבר אחד בלתי מזיק באפליקציה שאתם חוקרים, למשל טעינת עמוד שמותר לכם לטעון. פעולה אחת, רגע אחד, כדי שאפשר יהיה לקשור אליו את הרשומות שמופיעות בלי ניחושים. המתינו שנייה או שתיים אחרי שזה מסתיים, מפני שטעינת עמוד יוצרת פרץ של חיבורים ולא חיבור אחד. קריאת הרשימה בזמן שהיא עדיין מתמלאת מבטיחה שתשפטו את הסדר לא נכון.

לפני שאתם קוראים את התוצאה, בדקו אם שדה חיפוש או מסנן מצב מצמצמים את הרשימה. מסנן שנשאר מהפעלה קודמת הוא הסיבה הנפוצה ביותר לכך שחיבור נראה חסר כשהוא רק מוסתר, והוא גם הסיבה לכך ששני אנשים שמסתכלים על אותו מחשב לא מסכימים על מה קורה.

צעד שני: כללו חיבורי הרחבות כדי לראות את המנהרה עצמה

לקוח ה-VPN בגרסת macOS עדכנית הוא בדרך כלל הרחבת רשת ולא אפליקציה רגילה. הפעילו הצג הרחבות רשת בצג, והחיבורים שההרחבה הזו יוצרת נעשים גלויים לצד כל השאר.

כעת אפשר לקרוא את שתי השכבות יחד. הדפדפן הוא מקור הבקשה, וההרחבה היא התעבורה שנושאת אותה. לראות את שתיהן זה נורמלי וצפוי; לראות רק את ההרחבה בדרך כלל אומר שהתצוגה מסוננת, בעוד לראות רק את האפליקציה אומר שתצוגת ההרחבות כבויה.

אף תצוגה לבדה לא ממפה את כל המסלול. כללי ניתוב, התנהגות DNS וכל חריגה לפי אפליקציה נמצאים מחוץ לרשימת החיבורים, ולכן תשובה מלאה דורשת לבדוק אותם בנפרד.

צעד שלישי: הבדילו חיבור ישיר אמיתי מאפקט תצוגה

אם אתם חושדים שיעד מסוים יוצא ישירות, תנו שם ליעד הזה ובדקו אותו בפני עצמו. הסתכלו בתצורת הניתוב והחסימה של לקוח ה-VPN עבור המארח או האפליקציה הזו, ואשרו אם הוא אמור להיות מוחרג.

מה שאסור לכם לעשות הוא לחסום כל רשומת דפדפן גלויה בתגובה. הדפדפן חייב לעשות את החיבורים שלו בכל מקרה, וחסימתם בצג לא מפנה אותם למנהרה; היא רק עוצרת אותם. זה הופך שאלת אבחון לתקלה. אם כלל נראה נחוץ, הגבילו אותו ליעד האחד שאתם יכולים להצדיק, עם הערה מדוע הוא קיים.

אותה זהירות חלה על עמודת המתחם. שם שמפתיע אתכם עשוי להיות שם מארח משותף, נקודת מסירת תוכן או חיפוש שהתרחש לפני שהמנהרה עלתה, והתייחסות אליו כהוכחה לדליפה מובילה לכללים ששוברים תעבורה עובדת.

צעד רביעי: הפרידו בין התצוגה לכלל

כל שינוי בתרגיל הזה משנה את מה שהצג מציג. אף אחד מהם לא משנה את מה שחומת האש מתירה, ואף אחד לא מזיז תעבורה לתוך המנהרה או החוצה ממנה.

כשתסיימו, החזירו את המסננים למצב שתוכלו להסביר, כדי שהאדם הבא שפותח את החלון לא יקרא תצוגה שהשארתם מאחור. אם השאלה הייתה אם יעד עובר דרך המנהרה, ענו עליה מהגדרות הניתוב וההחרגה, ואז השתמשו בצג כדי לאשר את התוצאה במקום לנחש אותה.