Perché lo split tunneling non copre gli aggiornamenti della tua app

Aggiungi l’applicazione alla lista di esclusione dello split tunneling, l’app raggiunge internet direttamente, e gli aggiornamenti continuano a fallire o continuano a trascinarsi attraverso il tunnel. L’esclusione ha funzionato. Ha coperto solo un processo diverso da quello che esegue il download, perché un aggiornatore moderno raramente è lo stesso eseguibile della finestra dell’applicazione.

Il mito: escludere l’app esclude il suo traffico

Lo split tunneling per app abbina un processo, un pacchetto o un percorso di applicazione, a seconda della piattaforma. Non abbina un marchio, una funzione o un’intenzione dell’utente. Quando l’applicazione affida il download a un helper, a un servizio condiviso della piattaforma o a un componente del browser, quell’helper ha una propria identità e un proprio percorso attraverso il tunnel. La lista di esclusione non ha idea che i due processi appartengano allo stesso prodotto. Sa solo quale hai nominato.

Quindi la regola fa esattamente ciò che le è stato detto. L’ipotesi su chi possiede il trasferimento era sbagliata, e la correzione inizia identificando quel proprietario invece di aggiungere altre esclusioni.

Individua il proprietario del trasferimento

Su Android, l’aggiornamento può essere scaricato da un pacchetto di servizio condiviso anziché dal pacchetto dell’app che hai escluso, e una regola VPN per app si applica al pacchetto che apre il socket. Su Windows, un servizio di aggiornamento può essere eseguito sotto un percorso eseguibile diverso da quello dell’applicazione, quindi una regola che corrisponde al percorso dell’app lo manca. Su macOS, un helper privilegiato o un demone di aggiornamento di sistema può eseguire il trasferimento mentre l’app lo richiede soltanto.

Identifica il proprietario dalle prove: la vista dell’attività di rete della piattaforma, una cattura di pacchetti filtrata per processo o la documentazione del fornitore che nomina il componente di aggiornamento. Indovinare dal nome del processo è il modo in cui due binari simili vengono confusi e quello sbagliato viene escluso.

I sistemi di aggiornamento spesso dividono anche il lavoro. Una piccola richiesta di metadati controlla una versione, e un download di pacchetto molto più grande va a un host di distribuzione dei contenuti o a un dominio diverso. Il controllo dei metadati può riuscire attraverso il tunnel mentre il trasferimento del pacchetto si blocca su un host che il tunnel instrada diversamente. Questa divisione spiega il rapporto confuso in cui gli aggiornamenti vengono rilevati ma mai installati. Prova il download del pacchetto stesso, dallo stesso dispositivo e dalla stessa rete, invece di verificare se l’applicazione si apre.

La verifica sopravvive a un cambio di percorso

Cambiare un percorso non sostituisce TLS, l’identità dell’editore o la verifica della firma del pacchetto. Non disattivare quei controlli perché un download riesce solo dopo che hai ignorato un avviso di certificato inspiegato. Un avviso che compare solo sul percorso escluso è una constatazione, non un ostacolo. Esaminalo prima di ampliare la deviazione.

Su un dispositivo gestito, chiedi un’eccezione supportata invece di aggiungere una regola ampia per ogni servizio di sistema. Una regola che esclude tutti i servizi condivisi per riparare un solo aggiornatore amplia la deviazione ben oltre la richiesta originale.

Prova l’aggiornamento, poi documenta il proprietario

Riconnettiti dopo la modifica e verifica di nuovo la regola applicata, perché alcuni client ricostruiscono il loro instradamento quando il tunnel si riconnette. Esegui un ciclo di aggiornamento completo: controlla, scarica, verifica e installa. Un controllo riuscito dimostra solo la parte più piccola del percorso.

Registra il proprietario del trasferimento, gli host di destinazione e il percorso previsto nello stesso posto della regola di split tunneling. Altrimenti la prossima modifica del meccanismo di aggiornamento invaliderà silenziosamente l’eccezione, e chi la erediterà non avrà modo di sapere per quale processo è stata scritta la regola.