Osztott alagút: miért nyílik meg egy hivatkozás a beállított VPN-en kívül
Az útválasztás azt a folyamatot követi, amelyik megnyitja a socketet, nem azt az alkalmazást, amelyik megmutatta a hivatkozást. Bizonyítsa, melyik program kapcsolódik, mielőtt szélesíti a kivételeit.
Egy alkalmazás alagúton átvitele nem viszi magával az útválasztást mindenre, amit az alkalmazás elindít, még ha a felület az ellenkezőjét sugallja is. A hivatkozás átad egy kérést egy másik programnak, az a program megnyitja a saját socketét, és a platform az új folyamatra alkalmazza a szabályokat, nem arra, amelyik megjelenítette a szöveget. Ezt a második folyamatot látja valójában az alagút házirendje, és nem azt, amelyiket beállította.
Egy bennefoglalt alkalmazás tehát olyan böngészőt nyithat meg, amely az alagúton kívül ül. Egy kizárt böngésző visszaadhat munkát egy olyan alkalmazásnak, amely benne ül. Ennek a meglepetésnek mindkét iránya szokásos viselkedés.
A munkafolyamat azon része, amelyet senki nem állított be
Az alkalmazásonkénti házirend egy végrehajtható fájl vagy csomag identitása ellen íródik, és minden kapcsolat abban a pillanatban értékelődik, amikor létrejön. A böngésző, a dokumentumnéző, a médialejátszó és a rendszer megosztólapja mind a saját identitását hordozza, és mindegyik a saját ítéletét kapja. Egy mélyhivatkozás adatot hordoz, nem házirendet.
Ezért tűnik önkényesnek a megfigyelés: ugyanaz a kattintás kétfelé irányul attól függően, melyik kezelő válaszol rá. Egy az alagútban lévő levelezőprogram olyan böngészőben nyitja meg a hivatkozást, amely az alagúton kívül él, és az oldal az otthoni címéről töltődik be. Egy az alagúton kívüli böngésző olyan nézőben nyit meg egy dokumentumot, amely benne él, és a fájl a kimeneten keresztül érkezik. Egyik eredmény sem hiba a kliensben.
Egy már futó kezelő ront a helyzeten. Ha a böngésző már nyitva van, a hivatkozás üzenetté válik egy meglévő folyamat számára, és az a folyamat megtartja azt az útválasztást, amely az indulásakor volt. A kezelő bezárása és újranyitása megváltoztatja az eredményt, és ezért soha nem reprodukálódik a probléma kérésre.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Melyik folyamat hozta létre valójában a kapcsolatot
A fogadó oldalt mérje meg ahelyett, hogy következtetne rá. Tartsa futva az alagutat, kattintson egy ártalmatlan hivatkozásra, és nézze meg a socketeket, amelyeket az új program tart.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
Az első parancs megnevezi a Linuxon minden létrejött socket mögötti folyamatot, a második pedig ugyanezt teszi Windowson a tulajdonos folyamat azonosítójának feloldásával. Hasonlítsa össze a folyamat nevét a házirendjében szereplő nevekkel. Ha a név a böngésző, és a böngésző ki van zárva, a kattintás tervezés szerint hagyta el az alagutat, nem hiba miatt. Egy házirendszabály élő sockethez párosítása az egész módszer.
Ismételje meg az ellenőrzést a kezelő már futó, majd zárt állapotában. A két eredmény eltérhet, és ez az eltérés magyarázza a legtöbb időszakos jelentést az alagútból kiszökő hivatkozásokról.
A lefedettség a munkafolyamat tulajdonsága
Ha egy feladatnak az alagútban kell maradnia elejétől a végéig, minden komponensnek, amelyet elérhet, a házirenden belül kell lennie: az indítónak, a kezelőnek, a nézőnek és minden közvetítőnek, amelyet a platform közéjük illeszt. A szélesebb lefedettség gyakran az őszinte válasz, és olcsóbb, mint minden megosztási cél auditálása.
Egy rendszerközvetítő kizárása egyetlen alkalmazás javítása érdekében gyakori hiba. A közvetítők megosztottak, ezért a kizárás minden más alkalmazást követ, amely ugyanazt az útvonalat használja, általában anélkül, hogy bárki észrevenné, míg hetekkel később meg nem érkezik egy jelentés. Olvassa el, mi más függ a komponenstől, mielőtt kizárja.
Az identitást tartsa külön az útválasztástól. Egy hivatkozás munkamenet-tokent vagy fiókazonosítót hordozhat, függetlenül attól, melyik kimenet fogadja a kérést. Egy helyesen irányított kattintás még mindig pontosan megmondhatja a célnak, ki követte.
A munkafolyamatot dokumentálja, nem az első jelölőnégyzetet. Amikor egy feladat négy programra terjed ki, a négy programot tartalmazó ábra az, amely megjósolja, hová megy a forgalom, és az egyetlen alkalmazásra vonatkozó beállítás csak egyetlen sora annak.