Perché Little Snitch elenca ancora il browser sotto una VPN?

Accendi la VPN, apri Little Snitch e il browser è subito lì, con una connessione a un sito che pensavi passasse dal tunnel. Quella voce non è di per sé la prova di una fuga. Un monitor locale riporta quale processo ha aperto un socket su questa macchina, e il browser l’ha aperto; il client VPN è un secondo processo che raccoglie quei pacchetti dopo. Entrambe le affermazioni sono vere nello stesso momento, e il display ti mostra la prima.

Che cosa un monitor locale può attribuire e che cosa no

L’attribuzione avviene al socket. Il kernel sa quale processo possiede una connessione, quindi Little Snitch può etichettare una voce con il nome dell’app con grande sicurezza. Quello che per impostazione predefinita non vede è la connessione esterna che la VPN costruisce intorno a quel traffico, perché appartiene a un altro processo.

I nomi di dominio sono un segnale più debole di quanto sembri. In una connessione HTTPS il nome può venire da una query DNS, dal nome del server offerto durante l’handshake o da una ricerca inversa dell’indirizzo, a seconda di ciò che il sistema ha osservato. Nulla di tutto ciò richiede di decifrare la pagina, e nulla dimostra dove sono andati i byte dopo.

Quindi la voce del browser risponde a chi, non a dove. Trattala come dato di attribuzione e ricava il dove da un’altra vista.

Primo passo: parti da una finestra vuota invece di scorrere la cronologia

Le voci vecchie non possono dirti che cosa fa la configurazione attuale. Sposta il filtro temporale su Da adesso, o premi Command-K, così la finestra mostra solo le connessioni che compaiono dopo quel momento.

Poi fai esattamente una cosa innocua nell’applicazione che stai esaminando, come caricare una pagina che ti è consentito caricare. Un’azione, un momento, così le voci che compaiono possono essere collegate senza indovinare. Aspetta un secondo o due dopo il completamento, perché caricare una pagina produce una raffica di connessioni e non una sola. Leggere l’elenco mentre si sta ancora riempiendo garantisce che giudicherai male l’ordine.

Prima di leggere il risultato, controlla se un campo di ricerca o un filtro di stato stanno restringendo l’elenco. Un filtro rimasto da una sessione precedente è il motivo più comune per cui una connessione sembra mancare quando è solo nascosta, ed è anche il motivo per cui due persone che guardano la stessa macchina non sono d’accordo su ciò che accade.

Secondo passo: includi le connessioni delle estensioni per vedere il tunnel stesso

Il client VPN su una versione recente di macOS è di solito un’estensione di rete e non un’app normale. Attiva Mostra estensioni di rete nel Monitor e le connessioni che quell’estensione crea diventano visibili accanto a tutto il resto.

Ora i due livelli si possono leggere insieme. Il browser è l’origine della richiesta e l’estensione è il trasporto che la porta. Vedere entrambi è normale e atteso; vedere solo l’estensione di solito significa che la vista è filtrata, mentre vedere solo l’applicazione significa che la vista delle estensioni è disattivata.

Nessuna vista da sola inventaria tutto il percorso. Le regole di routing, il comportamento del DNS e qualsiasi eccezione per app vivono fuori dall’elenco delle connessioni, quindi una risposta completa richiede di verificarle a parte.

Terzo passo: distingui una vera connessione diretta da un effetto del display

Se sospetti che una destinazione specifica esca direttamente, nomina quella destinazione e controllala da sola. Guarda la configurazione di routing e di blocco del client VPN per quell’host o applicazione, e conferma se dovrebbe essere esclusa.

Quello che non dovresti fare è bloccare in risposta ogni voce visibile del browser. Il browser deve comunque fare le sue connessioni, e bloccarle nel monitor non le reindirizza nel tunnel; le ferma soltanto. Così una domanda di diagnostica diventa un’interruzione. Se una regola sembra necessaria, limitarla all’unica destinazione che puoi giustificare, con una nota sul perché esiste.

La stessa cautela vale per la colonna del dominio. Un nome che ti sorprende può essere un nome host condiviso, un endpoint di distribuzione dei contenuti o una risoluzione avvenuta prima che il tunnel salisse, e trattarlo come prova di una fuga porta a regole che rompono traffico funzionante.

Quarto passo: tieni separati la vista e la regola

Ogni modifica in questo esercizio altera ciò che il monitor mostra. Nessuna altera ciò che il firewall consente, e nessuna sposta traffico dentro o fuori dal tunnel.

Quando hai finito, riporta i filtri in uno stato che sai spiegare, così la prossima persona che apre la finestra non legge una vista che hai lasciato dietro. Se la domanda era se una destinazione passa dal tunnel, rispondi dalle impostazioni di routing ed esclusione, poi usa il monitor per confermare il risultato invece di indovinarlo.