Бөлүнгөн туннель: сиз орноткон VPNден тышкары шилтеме эмнеге ачылат
Маршруттоо сокетти ачкан процессти ээрчийт, сизге шилтемени көрсөткөн колдонмону эмес. Чыгарып салууларды кеңейтүүдөн мурун кайсы программа туташканын далилдеңиз.
Колдонманы туннелден өткөрүү анын маршруттоосун ошол колдонмо иштеткен бардык нерсеге өткөрбөйт, интерфейс тескерисинче көрсөтсө да. Шилтеме сурамды башка программага берет, ал программа өзүнүн сокетин ачат, ал эми платформа эрежелерди текстти көрсөткөн процесске эмес, жаңы процесске колдонот. Туннел саясаты так ушул экинчи процессти көрөт жана ал сиз орноткон процесс эмес.
Ошондуктан камтылган колдонмо туннелден тышкары турган браузерди ача алат. Чыгарылган браузер ишти анын ичинде турган колдонмого кайтара алат. Бул таң калыштын эки багыты тең кадимки жүрүм-турум.
Эч ким орнотпогон иш агымынын бөлүгү
Ар бир колдонмонун саясаты аткарылуучу файлдын же пакеттин инсандыгына каршы жазылат жана ар бир байланыш пайда болгон учурда бааланат. Браузер, документти көрүүчү, медиа ойноткуч жана системанын бөлүшүү баракчасы ар бири өзүнүн инсандыгын алып жүрөт жана ар бири өзүнүн өкүмүн алат. Терең шилтеме маалыматты алып жүрөт, саясатты эмес.
Ошондуктан байкоо өзүм билемдик болуп көрүнөт: ошол эле чыкылдатуу кайсы иштетүүчү жооп берерине жараша эки жол менен маршрутталат. Туннелдин ичиндеги почта кардары шилтемени туннелден тышкары жашаган браузерде ачат жана барак үй дарегиңизден жүктөлөт. Туннелден тышкаркы браузер документти анын ичинде жашаган көрүүчүдө ачат жана файл чыгуу аркылуу келет. Эки жыйынтыктын эч бири кардардын кемчилиги эмес.
Мурунтан иштеп турган иштетүүчү абалды начарлатат. Браузер мурунтан ачык болсо, шилтеме бар процесске билдирүүгө айланат жана ал процесс иштетилген кездеги маршруттоосун сактайт. Иштетүүчүнү жаап кайра ачуу жыйынтыкты өзгөртөт, ошондуктан маселе сурам боюнча эч качан кайталанбайт.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Байланышты чындыгында кайсы процесс түздү
Ой жүгүртүүнүн ордуна кабыл алуучу тарапты өлчөңүз. Туннелди күйүк тутуңуз, зыянсыз шилтемени чыкылдатыңыз жана жаңы программа кармаган сокеттерди караңыз.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
Биринчи буйрук Linuxте ар бир орнотулган сокеттин артындагы процессти атайт, экинчиси Windowsто ээлик кылган процесс идентификаторун чечүү менен ушундай кылат. Процесстин атын саясатыңыздагы аттар менен салыштырыңыз. Эгер ат браузер болуп, браузер чыгарылган болсо, чыкылдатуу туннелден кемчиликтен эмес, долбоор боюнча чыккан. Саясат эрежесин тирүү сокет менен дал келтирүү — бүткүл ыкма.
Текшерүүнү иштетүүчү мурунтан иштеп турганда, андан кийин жабык абалда кайталаңыз. Эки жыйынтык айырмаланышы мүмкүн жана бул айырма туннелден качып чыккан шилтемелер жөнүндөгү көптөгөн үзгүлтүктүү отчетторду түшүндүрөт.
Камтуу — иш агымынын касиети
Эгер тапшырма башынан аягына чейин туннелдин ичинде калышы керек болсо, ал жете алган ар бир компонент саясаттын ичинде болушу керек: иштеткич, иштетүүчү, көрүүчү жана платформа алардын ортосуна салган ар кандай ортомчу. Кененирээк камтуу көбүнчө чынчыл жооп болот жана ар бир бөлүшүү бутасын текшерүүдөн арзаныраак.
Бир колдонмону оңдоо үчүн системалык ортомчуну чыгарып салуу кеңири тараган ката. Ортомчулар жалпы, ошондуктан чыгарып салуу ошол жолду колдонгон ар бир башка колдонмого да жүрөт, адатта бирөө апталар өткөндөн кийин отчет келгенге чейин байкабайт. Компонентти чыгарып салуудан мурун ага дагы эмне көз каранды экенин окуңуз.
Инсандыкты маршруттоодон өзүнчө кармаңыз. Шилтеме сессия белгисин же эсеп идентификаторун алып жүрүшү мүмкүн, сурамды кайсы чыгуу кабыл аларына карабастан. Туура маршрутталган чыкылдатуу бара турган жерге аны ким ээрчигенин так айта алат.
Иш агымын документтештириңиз, биринчи белги кутучасын эмес. Тапшырма төрт программаны камтыса, төрт программасы бар диаграмма трафиктин кайда кетерин болжолдойт, ал эми бир колдонмонун жөндөөсү анын бир гана сабы.