VPN 아래에서도 Little Snitch가 브라우저를 표시하는 이유

VPN을 켜고 Little Snitch를 열면, 브라우저는 터널을 지난다고 생각했던 사이트로의 연결과 함께 그대로 나타납니다. 그 항목 자체가 유출의 증거는 아닙니다. 로컬 모니터는 이 컴퓨터에서 어느 프로세스가 소켓을 열었는지 알려 주며, 브라우저가 실제로 그것을 열었습니다. VPN 클라이언트는 그 패킷을 나중에 받아 가는 두 번째 프로세스입니다. 두 진술은 동시에 참이고, 화면은 첫 번째를 보여 주고 있을 뿐입니다.

로컬 모니터가 귀속할 수 있는 것과 없는 것

귀속은 소켓에서 일어납니다. 커널은 어느 프로세스가 연결을 소유하는지 알고 있으므로 Little Snitch는 항목에 앱 이름을 높은 신뢰도로 붙일 수 있습니다. 기본적으로 보이지 않는 것은 VPN이 그 트래픽 주위에 만드는 외부 연결이며, 이는 다른 프로세스에 속합니다.

도메인 이름은 보기보다 약한 신호입니다. HTTPS 연결에서 이름은 DNS 조회, 핸드셰이크 중에 제시된 서버 이름, 주소의 역방향 조회 중 어디서 왔는지에 따라 달라지며, 시스템이 무엇을 관찰했는지에 따릅니다. 어느 것도 페이지를 복호화할 필요가 없고, 어느 것도 바이트가 이후 어디로 갔는지 증명하지 않습니다.

따라서 브라우저 항목은 '누가'에 답하고 '어디로'에는 답하지 않습니다. 귀속 데이터로 다루고, '어디로'는 다른 보기에서 얻으세요.

첫 번째 단계: 기록을 스크롤하는 대신 빈 창에서 시작하기

오래된 항목으로는 현재 구성이 무엇을 하는지 알 수 없습니다. 시간 필터를 '지금부터'로 바꾸거나 Command-K를 눌러, 그 시점 이후에 나타나는 연결만 창에 표시되게 하세요.

그다음 조사 중인 앱에서 해가 없는 작업을 정확히 하나만 하세요. 예를 들어 로드해도 되는 페이지를 불러오는 것입니다. 작업 하나, 시점 하나로 맞추면 나타난 항목을 추측 없이 그 작업에 연결할 수 있습니다. 완료된 뒤 한두 초 기다리세요. 페이지 로드는 하나가 아니라 연결의 물결을 만듭니다. 목록이 채워지는 도중에 읽으면 순서를 반드시 잘못 판단합니다.

결과를 읽기 전에 검색 필드나 상태 필터가 목록을 좁히고 있는지 확인하세요. 이전 세션에서 남은 필터는 연결이 실제로는 숨겨졌을 뿐인데 없는 것처럼 보이는 가장 흔한 이유이며, 같은 컴퓨터를 보는 두 사람이 무슨 일이 벌어지는지에 대해 의견이 갈리는 이유이기도 합니다.

두 번째 단계: 터널 자체를 보려면 확장 연결을 포함하기

최신 macOS에서 VPN 클라이언트는 보통 일반 앱이 아니라 네트워크 확장입니다. Monitor에서 '네트워크 확장 보기'를 켜면 그 확장이 만드는 연결이 다른 모든 것과 함께 보입니다.

이제 두 계층을 함께 읽을 수 있습니다. 브라우저는 요청의 출처이고, 확장은 그것을 나르는 전송입니다. 둘 다 보이는 것은 정상이며 예상된 일입니다. 확장만 보이면 보기가 필터링된 경우가 많고, 앱만 보이면 확장 보기가 꺼져 있는 것입니다.

어느 보기도 단독으로 전체 경로를 조사하지는 않습니다. 라우팅 규칙, DNS 동작, 앱별 예외는 연결 목록 밖에 있으므로 완전한 답을 얻으려면 따로 확인해야 합니다.

세 번째 단계: 실제 직접 연결과 표시 효과 구분하기

특정 목적지가 직접 나가고 있다고 의심되면 그 목적지를 지목해 따로 확인하세요. 그 호스트나 앱에 대한 VPN 클라이언트 자체의 라우팅 및 차단 구성을 살펴보고, 제외되어야 하는지 확인하세요.

해서는 안 되는 일은 반응으로 눈에 보이는 모든 브라우저 항목을 차단하는 것입니다. 브라우저는 여전히 연결을 만들어야 하고, 모니터에서 차단해도 터널로 우회되지 않으며 그저 멈출 뿐입니다. 그러면 진단 질문이 장애가 됩니다. 규칙이 필요해 보이면 정당화할 수 있는 하나의 목적지로 범위를 좁히고, 왜 존재하는지 메모를 남기세요.

같은 주의가 도메인 열에도 적용됩니다. 의아한 이름은 공유 호스트 이름, 콘텐츠 전송 엔드포인트, 또는 터널이 올라오기 전에 일어난 조회일 수 있으며, 이를 유출의 증거로 다루면 정상 동작하는 트래픽을 끊는 규칙으로 이어집니다.

네 번째 단계: 보기와 규칙을 분리하기

이 연습의 모든 변경은 모니터가 무엇을 표시하는지를 바꿉니다. 방화벽이 무엇을 허용하는지는 바꾸지 않고, 트래픽을 터널 안팎으로 옮기지도 않습니다.

끝나면 필터를 설명할 수 있는 상태로 되돌려, 다음에 창을 여는 사람이 당신이 남긴 보기를 읽지 않게 하세요. 질문이 목적지가 터널을 지나는지였다면 라우팅과 예외 설정에서 답하고, 그다음 추측 대신 모니터로 결과를 확인하세요.