Aprire un secondo browser non crea una seconda rotta VPN

Due browser, due finestre, una sull’account di lavoro e una su un account personale, e il presupposto è che ora seguano percorsi diversi. Non lo fanno. La separazione dei profili tiene i cookie separati, mentre la decisione di instradamento avviene sotto il browser e non sa quale profilo abbia chiesto. Un secondo percorso richiede una regola che lo selezioni, e ci sono solo pochi posti in cui quella regola può vivere.

Separare lo stato non è separare il percorso

Un profilo del browser isola l’archiviazione: cookie, cronologia, estensioni e talvolta credenziali. Quell’isolamento è applicato all’interno di un solo albero di processi e non ha voce in capitolo su quale interfaccia trasporti un pacchetto.

Le finestre private vanno oltre nell’aspetto e non di un passo nell’instradamento. Tutto ciò che il browser invia esce comunque dal percorso scelto dal sistema operativo, a meno che qualcosa tra il socket e la rete non lo cambi. Confondere l’isolamento dell’archiviazione con l’isolamento di rete genera aspettative che nessun produttore di browser ha promesso e che nessun test può soddisfare.

Che cosa seleziona davvero una rotta

Quattro cose possono selezionare un percorso diverso: una regola VPN per applicazione che corrisponda all’eseguibile o al pacchetto, un proxy configurato dentro il browser o il sistema, uno spazio dei nomi di rete o un container, e un secondo dispositivo fisico. Ognuna cambia qualcosa di reale, e ognuna ha un costo.

Una regola per applicazione è la risposta abituale sulle piattaforme mobili, dove il servizio VPN riceve un elenco di pacchetti. Su desktop dipende dal client, e una regola che corrisponde all’eseguibile copre ogni profilo che quell’eseguibile apre. Se due profili hanno davvero bisogno di percorsi diversi, di solito servono loro due processi con identità diverse anziché due schede. Per questo un’installazione condivisa del browser non può mai essere il confine in un progetto per profili.

I proxy a livello di applicazione aggiungono un altro intermediario

Un’impostazione proxy nel browser crea davvero un percorso separato, e crea anche una relazione di fiducia separata con chi gestisce il proxy. È una sistemazione legittima per un profilo, e non equivale a una copertura dell’intero dispositivo.

Scegliete il proxy deliberatamente: un ascoltatore SOCKS sullo stesso host, un proxy autenticato dentro il tunnel, o un servizio remoto. Mescolare un proxy con una VPN a tunnel completo produce percorsi annidati in cui le modalità di guasto si moltiplicano.

Verificate la richiesta reale di ogni browser

Inviate la stessa richiesta da ogni browser e confrontate l’indirizzo di uscita osservato, invece di confrontare le pagine delle impostazioni. Un proxy configurato che fallisce silenziosamente la connessione è un modo molto comune di ritrovarsi sul percorso predefinito.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --proxy socks5h://127.0.0.1:1080 https://api.ipify.org
dig +short example.com

Poi ripetete la richiesta con il proxy forzato e con il tunnel abbassato, per vedere quale strato trasporta realmente il traffico. Annotate anche la risposta DNS, perché un browser con il proprio resolver cifrato può aggirare del tutto il percorso di sistema e mostrare comunque la pagina che vi aspettavate.

Scrivete la corrispondenza prevista in due righe: quale processo usa quale percorso, e chi possiede ciascuno. Tenete d’occhio anche le identità degli account, perché due percorsi non impediscono che lo stesso accesso venga presentato a entrambe le destinazioni. Riprovate dopo il prossimo aggiornamento del browser, perché un’impostazione proxy si perde facilmente e si nota con difficoltà.