ブラウザVPN拡張かデスクトップアプリか：実際に動いているのはどちら

ブラウザには海外のアドレスが表示され、メールソフトは今も自宅から接続し、ダウンロードツールはVPNを完全に無視している。壊れているものは何もなく、三つの異なる製品が三つの異なる動きをしているだけだ。ブラウザ拡張が変えられるのはブラウザのプロキシ設定だけであり、デスクトップアプリは経路ポリシーに従って多くのアプリの通信を捕捉できる。アイコン上の製品名は、どちらを持っているかを教えてくれない。

アイコンが語れないことを読む

相棒アプリがあれば終了し、拡張の挙動を見る。プロキシを続けるのか、動かなくなるのか、それともデスクトップクライアントの起動を求めるのか。相棒アプリがトンネルを握っている場合、二つの表示は別種の状態を示すことがある。片方はブラウザの設定であり、もう片方はトンネルだ。カバレッジについて結論を出す前に、両方を確認する。

Chrome と Firefox の拡張はブラウザのプロキシAPIを使う。このAPIが設定するのはブラウザであり、オペレーティングシステムではない。拡張のプロキシ設定ページを開き、モードが固定か、自動か、相棒アプリによる制御かを見る。

したがって、メールソフトやゲーム、別のダウンローダーは、自前の設定を持たない限りそのプロキシを使わない。プロバイダーのサイトから取得した OpenVPN プロファイルにも、対応するクライアントが依然として必要だ。

プロキシは暗号化されたトンネルではない

プロキシは中継の経路であり、そこまでの区間が暗号化されるかどうかはプロトコルとその設定の性質だ。SOCKS という表示だけでは何も保証されない。正しく検証された HTTPS はブラウザからサイトまでの内容を別途守っており、その保護は VPN の有無にかかわらず重要だ。

デスクトップアプリは特定のアプリや宛先を除外することもできるため、デバイス単位の導入は、すべての要求がそれを通るという約束ではない。必要なアプリを列挙し、それらを試すべきで、インストーラーからカバレッジを推測してはいけない。

DNSは独自の道を行く

問い合わせはブラウザの安全な DNS、プロキシ、オペレーティングシステムのリゾルバーのいずれからも出て行き、これは三つの異なる経路だ。ブラウザの一つの要求で公開アドレスが変わったことは DNS の検証ではない。VPN のリゾルバーだけが答えるはずの名前を問い合わせ、その答えをブラウザの外でオペレーティングシステムが返すものと比べる。

内部名がブラウザで失敗し端末で解決するなら、拡張はその問い合わせを運んでいない。両方失敗するなら、問題はリゾルバーの経路にあり、プロキシは注意をそらすものだ。

接続を切り、観察する

許可された試験で接続を切り、観察する。ブラウザは止まるのか、エラーを出すのか、それとも直接経路に戻るのか。トンネルが落ちたときにデスクトップクライアントが約束する内容と突き合わせる。自動再接続とトンネル外の遮断は別の保証だからだ。

拡張の権限も、転送に関する主張とは切り離して確認し、発行元の検証済みチャネルから導入する。障害試験のあいだに拡張がどのモードを報告するかを記録する。その値がフォールバックを説明するからだ。

そのうえで、作業をカバーする構成を選ぶ。デバイス単位のアクセスには経路ポリシーを持つクライアントが要るが、ブラウザのタブ一つならプロキシだけで足りるかもしれない。理解できるポリシーを一つ保つほうが、拡張を積み上げて合計が保護だと期待するよりよい。