Բաժանված թունել. ինչու է հղումը բացվում ձեր կարգավորած VPN-ից դուրս
Երթուղավորումը հետևում է սոկետը բացող գործընթացին, ոչ թե այն հավելվածին, որը ձեզ ցույց տվեց հղումը։ Ապացուցեք, թե որ ծրագիրն է միանում, նախքան բացառությունները լայնացնելը։
Հավելվածը թունելով անցկացնելը չի տեղափոխում նրա երթուղավորումը այն ամենին, ինչ այդ հավելվածը գործարկում է, թեև ինտերֆեյսը հուշում է հակառակը։ Հղումը հարցումը փոխանցում է մեկ այլ ծրագրի, այդ ծրագիրը բացում է իր սեփական սոկետը, և հարթակը կանոնները կիրառում է նոր գործընթացի վրա, այլ ոչ այն գործընթացի, որը ցույց տվեց տեքստը։ Հենց այդ երկրորդ գործընթացն է, որ տեսնում է թունելի քաղաքականությունը, և դա ձեր կարգավորած գործընթացը չէ։
Այսպիսով՝ ներառված հավելվածը կարող է բացել զննարկիչ, որը գտնվում է թունելից դուրս։ Բացառված զննարկիչը կարող է աշխատանքը վերադարձնել հավելվածին, որը գտնվում է դրա ներսում։ Այս անակնկալի երկու ուղղություններն էլ սովորական վարք են։
Աշխատահոսքի այն մասը, որը ոչ ոք չի կարգավորել
Հավելվածի քաղաքականությունը գրվում է գործարկվող ֆայլի կամ փաթեթի ինքնության դեմ, և յուրաքանչյուր կապ գնահատվում է այն պահին, երբ ստեղծվում է։ Զննարկիչը, փաստաթղթերի դիտիչը, մեդիանվագարկիչը և համակարգի կիսման թերթիկը յուրաքանչյուրն իր ինքնությունն ունի, և յուրաքանչյուրը ստանում է իր դատավճիռը։ Խորը հղումը տվյալներ է տեղափոխում, ոչ թե քաղաքականություն։
Այդ պատճառով դիտարկումը կամայական է թվում. նույն սեղմումն ուղղորդվում է երկու ճանապարհով՝ կախված նրանից, թե որ մշակիչն է պատասխանում։ Թունելի ներսում գտնվող փոստի հաճախորդը հղումը բացում է թունելից դուրս ապրող զննարկիչում, և էջը բեռնվում է ձեր տնային հասցեից։ Թունելից դուրս գտնվող զննարկիչը փաստաթուղթը բացում է դրա ներսում ապրող դիտիչում, և ֆայլը գալիս է ելքով։ Երկու արդյունքներից ոչ մեկը հաճախորդի խափանում չէ։
Արդեն աշխատող մշակիչը վատացնում է վիճակը։ Եթե զննարկիչն արդեն բաց է, հղումը դառնում է հաղորդագրություն գոյություն ունեցող գործընթացին, և այդ գործընթացը պահպանում է այն երթուղավորումը, որն ուներ մեկնարկելիս։ Մշակիչը փակելը և նորից բացելը փոխում է արդյունքը, և դրա համար խնդիրը երբեք չի կրկնվում պահանջով։
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Որ գործընթացն է իրականում ստեղծել կապը
Չափեք ընդունող կողմը՝ փոխանակ դրա մասին դատելու։ Թողեք թունելը միացած, սեղմեք անվնաս հղման վրա և նայեք այն սոկետներին, որոնք պահում է նոր ծրագիրը։
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
Առաջին հրամանը նշում է Linux-ում յուրաքանչյուր հաստատված սոկետի հետևում գտնվող գործընթացը, իսկ երկրորդը նույնն անում է Windows-ում՝ լուծելով տիրապետող գործընթացի նույնացուցիչը։ Համեմատեք գործընթացի անունը ձեր քաղաքականության անունների հետ։ Եթե անունը զննարկիչն է, և զննարկիչը բացառված է, սեղմումը թունելից դուրս է եկել մտադրությամբ, ոչ թե խափանման պատճառով։ Քաղաքականության կանոնը կենդանի սոկետի հետ համադրելն ամբողջ մեթոդն է։
Կրկնեք ստուգումը, երբ մշակիչն արդեն աշխատում է, ապա երբ այն փակ է։ Երկու արդյունքները կարող են տարբեր լինել, և այդ տարբերությունը բացատրում է թունելից փախչող հղումների մասին ընդհատվող հաշվետվությունների մեծ մասը։
Ծածկույթը աշխատահոսքի հատկություն է
Եթե առաջադրանքը պետք է մնա թունելի ներսում սկզբից մինչև վերջ, ապա յուրաքանչյուր բաղադրիչ, որին այն կարող է հասնել, պետք է լինի քաղաքականության ներսում՝ գործարկիչը, մշակիչը, դիտիչը և ցանկացած միջնորդ, որը հարթակը մտցնում է նրանց միջև։ Ավելի լայն ծածկույթը հաճախ ազնիվ պատասխանն է, և այն ավելի էժան է, քան յուրաքանչյուր կիսման թիրախի աուդիտը։
Համակարգային միջնորդին բացառելը մեկ հավելվածը շտկելու համար տարածված սխալ է։ Միջնորդները համատեղ են, ուստի բացառությունը հետևում է նույն ուղին օգտագործող յուրաքանչյուր այլ հավելվածի, սովորաբար առանց որևէ մեկի նկատելու, մինչև շաբաթներ անց հաշվետվություն չգա։ Կարդացեք, թե ինչ այլ բան է կախված բաղադրիչից, նախքան այն բացառելը։
Ինքնությունը առանձին պահեք երթուղավորումից։ Հղումը կարող է կրել նստաշրջանի նշան կամ հաշվի նույնացուցիչ՝ անկախ նրանից, թե որ ելքն է ստանում հարցումը։ Ճիշտ ուղղորդված սեղմումը դեռ կարող է նպատակակետին հստակ ասել, թե ով է հետևել դրան։
Փաստաթղթավորեք աշխատահոսքը, ոչ թե առաջին վանդակը։ Երբ առաջադրանքը տարածվում է չորս ծրագրի վրա, չորս ծրագիր ունեցող դիագրամն է, որ կանխատեսում է, թե ուր կգնա երթևեկությունը, և մեկ հավելվածի կարգավորումը դրա ընդամենը մեկ տողն է։