NetGuard-ის SOCKS რეჟიმი ფარავს TCP-ს და არა ყველა პროტოკოლს

NetGuard იკავებს Android-ის VPN ინტერფეისს ტრაფიკის გასაფილტრავად და შეუძლია მხარდაჭერილი კავშირები SOCKS-ის ბოლო წერტილს გადასცეს. ეს ორი ფაქტი ხშირად იკითხება როგორც „ტელეფონი VPN-შია“, რაც დასკვნაა, რომელსაც მექანიზმი არ უჭერს მხარს. ფილტრი პაკეტებს ხედავს; პროქსი მხოლოდ იმ კავშირებს ხედავს, რომლებიც რეალურად გადაეცა. ამ ორ განაცხადს შორის მდებარეობს მთელი საკითხი დაფარვაზე.

წყარო პროექტის FAQ აფიქსირებს როგორც ერთი სერვისის შეზღუდვას, ისე SOCKS-ის ვარიანტს. ვარიანტის არსებობა არ არის მტკიცებულება, რომ ყველა დაშვებული პაკეტი მას იყენებს, და დაფარვის კითხვები სწორედ ამ ნაპრალიდან ჩნდება.

ორი გადამისამართების გზა ერთ აპში

იმპლემენტაციის TCP მხარე შეიცავს SOCKS კავშირების დამუშავებას, ამიტომ დაშვებული TCP კავშირი შეიძლება შეთანხმდეს პროქსისთან და გაიაროს მის გავლით. UDP მხარეს აქვს ცალკე სოკეტის გზა, და მისი გაგზავნისა და მიღების დამუშავება ამ TCP შეთანხმებაზე არ არის დამოკიდებული. ამიტომ ფილტრის მიერ დაშვებულ დათაგრამს შეუძლია მიაღწიოს ჩვეულებრივ ქსელს პროქსის გავლის გარეშე. ამაში აპის ხარვეზი არ არის; ეს უბრალოდ ის არის, რასაც ორი გზა ახორციელებს.

ამ განსხვავებას აქვს შედეგი, რომელსაც ადამიანები ორივე მიმართულებით არასწორად აღწერენ. ყოველ UDP პაკეტს გაჟონვა ვუწოდოთ, ნიშნავს ბლოკირების წესების უგულებელყოფას, რადგან უარყოფილი დათაგრამი არასდროს გადის. მთელ კონსტრუქციას VPN ვუწოდოთ, ნიშნავს დაშვებული პირდაპირი გზის უგულებელყოფას, რადგან ტრაფიკის ნაწილი მართლაც გადის პროქსის გარეშე. რაც გაქვთ, არის ნაწილობრივი პროქსით გაფილტრული მოწყობილობა, და პატიოსანი აღწერა მატრიცაა და არა იარლიყი.

UDP-ის რეკლამა მისი იმპლემენტაცია არ არის

SOCKS სერვერი, რომელიც UDP-ის მხარდაჭერას აცხადებს, არ ამატებს შესაბამის კლიენტურ დამუშავებას თქვენი ტელეფონის აპს. პროტოკოლის თეორიული თვისებები და დაყენებული ვერსიის ქცევა სხვადასხვა თემაა, და მხოლოდ მეორე აღწერს თქვენს ტრაფიკს.

შეამოწმეთ ვერსია და კონფიგურაცია, რომელსაც რეალურად უშვებთ, შემდეგ გამოსცადეთ უვნებელი დათაგრამის ნაკადი და დააკვირდით, ჩანს თუ არა ის პროქსისთან. ყველაფერი სხვა დასკვნაა თვისებების სიიდან, და თვისებათა სიები განზრახვებს აღწერს და არა კოდის გზებს.

DNS მესამე გზაა და არა დეტალი

სახელების გარჩევა მატრიცას საკუთარ ტოტს უმატებს. ლოკალური DNS გამტარი, ჩვეულებრივი UDP მოთხოვნა, დანიშნულების ჰოსტის სახელი, რომელსაც თავად პროქსი ხსნის, და ბრაუზერში დაშიფრული გამხსნელი ოთხი განსხვავებული კონსტრუქციაა. ისინი განსხვავდებიან იმით, თუ ვინ ხედავს მოთხოვნას და რომელი ქსელური გზა ატარებს მას, და მათი შერევა იძლევა გამოცდას, რომელიც დანარჩენებზე არაფერს ამტკიცებს.

გონივრულად გადაწყვიტეთ, რომელი გსურთ. თუ მოთხოვნაა, რომ სახელები გვირაბის გავლით გაიხსნას, მხოლოდ ბრაუზერის პარამეტრი ამას ვერ უზრუნველყოფს, და პროქსი, რომელიც თავად ხსნის ჰოსტის სახელებს, პასუხს მხოლოდ იმ კავშირებისთვის ცვლის, რომლებსაც რეალურად ემსახურება.

პროქსის ტრანსპორტი ავტომატურად კერძო არ არის

ჩვეულებრივი SOCKS არ არის დაშიფრული რგოლი ტელეფონიდან პროქსიმდე. თუ ბოლო წერტილს სხვა დაცული გზით აღწევთ, დაასახელეთ ის გზა და მისი მარცხის პოლიტიკა, რადგან ღია ქსელზე დაბრუნება გაფრთხილების გარეშე კერძო კონსტრუქციას საჯაროდ აქცევს. პროქსის საკუთარი ავთენტიფიკაციაც მნიშვნელოვანია: ღია მსმენელი საზიარო მოწყობილობაზე ისეთი სერვისია, რომელზეც პასუხს არავინ აგებს.

პროფილებს შორის კონსტრუქციები იგივე შემოწმებას იმსახურებს. სამუშაო პროფილის VPN იცავს მხოლოდ იმ ტრაფიკს, რომელიც მის გზას იყენებს, და პირადი პროფილის ფაირვოლისა და სამუშაო გვირაბის თანაარსებობა არ ამტკიცებს, რომ ფაირვოლის შემდგომი კავშირი ამ გვირაბს აღწევს. გადაამოწმეთ ხელმისაწვდომობა და ავთენტიფიკაცია იმის ნაცვლად, რომ ჩათვალოთ პროფილების თანამშრომლობა.

დაფარვის აუდიტი მატრიცით და არა გვერდის ჩატვირთვით

ავტორიზებული შეფასებისთვის შეარჩიეთ უვნებელი მაგალითები, რომლებიც წარმოადგენენ თქვენთვის მნიშვნელოვან თითოეულ კლასს: საჭირო TCP, დაშვებული UDP და DNS ორივე მისამართის ოჯახში. თითოეულისთვის ჩაწერეთ, გაიარა თუ არა პროქსით, დაიბლოკა თუ გაიგზავნა პირდაპირ. სწორედ ეს ერთი ცხრილია შედეგი და ის გაცილებით სასარგებლოა, ვიდრე ჩატვირთული გვერდის ეკრანის სურათი.

თუ მოთხოვნაა, რომ ყველა შერჩეულმა აპლიკაციის ტრაფიკმა გაიაროს დისტანციურ გვირაბში, აირჩიეთ იმპლემენტაცია, რომელიც ცხადად უჭერს მხარს კომბინირებულ ფილტრაციას და გვირაბიზაციას. მხოლოდ TCP პროქსის კომპოზიცია სასარგებლო რჩება ვიწრო ამოცანებისთვის, იმ პირობით, რომ დანარჩენი ტრაფიკი განზრახ მუშავდება და არა დავიწყებული.