Mengapa Little Snitch Masih Mencantumkan Browser di Bawah VPN?

Anda menyalakan VPN, membuka Little Snitch, dan browser langsung ada di sana, dengan koneksi ke situs yang Anda kira lewat terowongan. Entri itu bukan bukti kebocoran dengan sendirinya. Monitor lokal melaporkan proses mana yang membuka soket di mesin ini, dan browser memang membukanya; klien VPN adalah proses kedua yang mengambil paket itu setelahnya. Kedua pernyataan benar pada saat yang sama, dan tampilan menunjukkan yang pertama kepada Anda.

Apa yang bisa dan tidak bisa diatribusikan oleh monitor lokal

Atribusi terjadi di soket. Kernel tahu proses mana yang memiliki koneksi, sehingga Little Snitch dapat memberi label entri dengan nama aplikasi dengan keyakinan tinggi. Yang tidak dilihatnya secara bawaan adalah koneksi luar yang dibangun VPN di sekitar lalu lintas itu, karena koneksi itu milik proses lain.

Nama domain adalah sinyal yang lebih lemah daripada kelihatannya. Pada koneksi HTTPS, nama bisa berasal dari kueri DNS, dari nama server yang ditawarkan saat jabat tangan, atau dari pencarian balik alamat, tergantung apa yang diamati sistem. Tidak ada yang memerlukan dekripsi halaman, dan tidak ada yang membuktikan ke mana bita itu pergi setelahnya.

Jadi entri browser menjawab siapa, bukan ke mana. Perlakukan itu sebagai data atribusi dan dapatkan ke mana dari tampilan lain.

Langkah satu: mulai dari jendela kosong alih-alih menggulir riwayat

Entri lama tidak bisa memberi tahu apa yang dilakukan konfigurasi saat ini. Ubah filter waktu ke Dari Sekarang, atau tekan Command-K, agar jendela hanya menampilkan koneksi yang muncul setelah momen itu.

Lalu lakukan tepat satu hal tak berbahaya di aplikasi yang Anda selidiki, misalnya memuat halaman yang boleh Anda muat. Satu tindakan, satu momen, agar entri yang muncul bisa dikaitkan dengannya tanpa menebak. Tunggu satu atau dua detik setelah selesai, karena memuat halaman menghasilkan ledakan koneksi dan bukan satu koneksi. Membaca daftar saat masih terisi akan menjamin Anda salah menilai urutannya.

Sebelum membaca hasilnya, periksa apakah kolom pencarian atau filter status mempersempit daftar. Filter yang tertinggal dari sesi sebelumnya adalah alasan paling umum sebuah koneksi tampak hilang padahal hanya tersembunyi, dan juga alasan dua orang yang melihat mesin yang sama tidak sepakat tentang apa yang terjadi.

Langkah dua: sertakan koneksi ekstensi untuk melihat terowongannya sendiri

Klien VPN pada versi macOS terbaru biasanya berupa ekstensi jaringan, bukan aplikasi biasa. Aktifkan Tampilkan Ekstensi Jaringan di Monitor dan koneksi yang dibuat ekstensi itu menjadi terlihat bersama yang lain.

Kini kedua lapisan bisa dibaca bersama. Browser adalah asal permintaan, dan ekstensi adalah transportasi yang membawanya. Melihat keduanya normal dan diharapkan; melihat hanya ekstensi biasanya berarti tampilan terfilter, sedangkan melihat hanya aplikasi biasanya berarti tampilan ekstensi dimatikan.

Tidak ada tampilan yang sendirian menginventarisasi seluruh jalur. Aturan perutean, perilaku DNS, dan pengecualian per aplikasi berada di luar daftar koneksi, jadi jawaban lengkap memerlukan pemeriksaan terpisah.

Langkah tiga: bedakan koneksi langsung sungguhan dari efek tampilan

Jika Anda menduga tujuan tertentu keluar langsung, sebutkan tujuan itu dan periksa sendiri. Lihat konfigurasi perutean dan pemblokiran klien VPN untuk host atau aplikasi itu, dan pastikan apakah seharusnya dikecualikan.

Yang tidak boleh Anda lakukan adalah memblokir setiap entri browser yang terlihat sebagai respons. Browser tetap harus membuat koneksinya, dan memblokirnya di monitor tidak mengalihkannya ke terowongan; itu hanya menghentikannya. Itu mengubah pertanyaan diagnostik menjadi gangguan. Jika sebuah aturan tampak perlu, batasi pada satu tujuan yang bisa Anda pertanggungjawabkan, dengan catatan mengapa aturan itu ada.

Kewaspadaan yang sama berlaku untuk kolom domain. Nama yang mengejutkan Anda bisa berupa nama host bersama, titik akhir pengiriman konten, atau pencarian yang terjadi sebelum terowongan naik, dan memperlakukannya sebagai bukti kebocoran menghasilkan aturan yang merusak lalu lintas yang berfungsi.

Langkah empat: pisahkan tampilan dan aturan

Setiap perubahan dalam latihan ini mengubah apa yang ditampilkan monitor. Tidak ada yang mengubah apa yang diizinkan firewall, dan tidak ada yang memindahkan lalu lintas ke dalam atau ke luar terowongan.

Setelah selesai, kembalikan filter ke keadaan yang bisa Anda jelaskan, agar orang berikutnya yang membuka jendela tidak membaca tampilan yang Anda tinggalkan. Jika pertanyaannya apakah sebuah tujuan lewat terowongan, jawablah dari pengaturan perutean dan pengecualian, lalu gunakan monitor untuk mengonfirmasi hasilnya alih-alih menebaknya.