Miért listázza a Little Snitch továbbra is a böngészőt VPN alatt?

Bekapcsolja a VPN-t, megnyitja a Little Snitchet, és a böngésző máris ott van, egy kapcsolattal egy olyan oldalhoz, amelyről azt hitte, hogy az alagúton megy át. Ez a bejegyzés önmagában nem bizonyíték szivárgásra. Egy helyi monitor jelenti, melyik folyamat nyitott socketet ezen a gépen, és a böngésző nyitotta meg; a VPN-kliens egy második folyamat, amely ezeket a csomagokat utólag felveszi. Mindkét állítás egyszerre igaz, és a kijelző az elsőt mutatja Önnek.

Mit tud és mit nem tud egy helyi monitor hozzárendelni

A hozzárendelés a socketnél történik. A kernel tudja, melyik folyamat birtokol egy kapcsolatot, így a Little Snitch nagy biztonsággal címkézheti a bejegyzést az alkalmazás nevével. Amit alapértelmezésben nem lát, az a külső kapcsolat, amelyet a VPN e forgalom körül épít, mert az egy másik folyamathoz tartozik.

A domainnevek gyengébb jelzések, mint amilyennek látszanak. HTTPS-kapcsolatnál a név származhat DNS-lekérdezésből, a kézfogás során felajánlott szervernévből vagy a cím fordított kereséséből, attól függően, mit figyelt meg a rendszer. Ezek egyike sem igényli az oldal visszafejtését, és egyik sem bizonyítja, hová mentek a bájtok utána.

A böngésző bejegyzése tehát a kire válaszol, nem a hová. Kezelje hozzárendelési adatként, és a hovát egy másik nézetből szerezze be.

Első lépés: üres ablakból induljon az előzmények görgetése helyett

A régi bejegyzések nem mondják meg, mit tesz a jelenlegi konfiguráció. Állítsa az időszűrőt Mostantól értékre, vagy nyomja meg a Command-K billentyűt, hogy az ablak csak az e pillanat után megjelenő kapcsolatokat mutassa.

Ezután tegyen pontosan egy ártalmatlan dolgot a vizsgált alkalmazásban, például töltsön be egy oldalt, amelyet betölthet. Egy cselekvés, egy pillanat, hogy a megjelenő bejegyzések találgatás nélkül hozzá kapcsolhatók legyenek. Várjon egy-két másodpercet a befejezés után, mert egy oldalbetöltés kapcsolatok sorozatát kelti, nem egyet. A lista olvasása, miközben még töltődik, garantálja, hogy rosszul ítéli meg a sorrendet.

Mielőtt elolvassa az eredményt, ellenőrizze, hogy egy keresőmező vagy állapotszűrő nem szűkíti-e a listát. Egy korábbi munkamenetből maradt szűrő a leggyakoribb oka annak, hogy egy kapcsolat hiányzónak látszik, miközben csak rejtett, és ez az oka annak is, hogy két ember ugyanazt a gépet nézve nem ért egyet abban, mi történik.

Második lépés: vegye fel a kiterjesztések kapcsolatait, hogy magát az alagutat lássa

A VPN-kliens egy mai macOS-verzión általában hálózati kiterjesztés, nem közönséges alkalmazás. Kapcsolja be a Monitorban a Hálózati kiterjesztések megjelenítése opciót, és a kiterjesztés által létrehozott kapcsolatok minden más mellett láthatóvá válnak.

Most a két réteg együtt olvasható. A böngésző a kérés forrása, a kiterjesztés pedig az azt szállító átvitel. Mindkettőt látni normális és várható; csak a kiterjesztést látni általában azt jelenti, hogy a nézet szűrt, míg csak az alkalmazást látni azt, hogy a kiterjesztések nézete ki van kapcsolva.

Egyik nézet sem listázza önmagában a teljes útvonalat. Az útválasztási szabályok, a DNS viselkedése és az alkalmazásonkénti kivételek a kapcsolatlistán kívül élnek, ezért a teljes válaszhoz ezeket külön kell ellenőrizni.

Harmadik lépés: különböztesse meg a valódi közvetlen kapcsolatot a megjelenítési hatástól

Ha gyanítja, hogy egy adott cél közvetlenül kifelé megy, nevezze meg azt a célt, és külön ellenőrizze. Nézze meg a VPN-kliens saját útválasztási és blokkolási konfigurációját arra a gazdagépre vagy alkalmazásra, és erősítse meg, hogy ki kell-e zárni.

Amit nem szabad tennie, hogy válaszként minden látható böngészőbejegyzést blokkoljon. A böngészőnek így is meg kell tennie a kapcsolatait, és a monitorban blokkolni őket nem irányítja át őket az alagútba; csak megállítja. Ez egy diagnosztikai kérdést kieséssé változtat. Ha egy szabály szükségesnek tűnik, korlátozza arra az egy célra, amelyet meg tud indokolni, és jegyezze meg, miért létezik.

Ugyanez az óvatosság érvényes a domainoszlopra. Egy név, amely meglepi, lehet megosztott gazdagépnév, tartalomkiszolgálási végpont vagy a névfeloldás, amely még az alagút felállása előtt történt, és szivárgás bizonyítékaként kezelni olyan szabályokhoz vezet, amelyek megtörik a működő forgalmat.

Negyedik lépés: tartsa külön a nézetet és a szabályt

E gyakorlat minden változtatása módosítja, mit mutat a monitor. Egyik sem módosítja, mit engedélyez a tűzfal, és egyik sem mozgat forgalmat az alagútba vagy ki belőle.

Ha végzett, állítsa vissza a szűrőket egy magyarázható állapotba, hogy a következő ember, aki megnyitja az ablakot, ne az Ön által hátrahagyott nézetet olvassa. Ha a kérdés az volt, hogy egy cél az alagúton megy-e át, az útválasztási és kivételbeállításokból válaszolja meg, majd a monitorral erősítse meg az eredményt, ahelyett hogy találgatna.