Gedeelten Tunnel: firwat en Link ausserhalb vun der VPN opgeet, déi Dir ageriicht hutt
D’Routing follegt dem Prozess, deen de Socket opmécht, net der App, déi Iech de Link gewisen huet. Beweist wéi ee Programm sech verbënnt, ier Dir Är Ausnamen erweidert.
En App duerch en Tunnel ze schécken dréit seng Routing net op alles wat dësen App startet, och wann d’Interface anescht suggeréiert. E Link gëtt eng Ufro un en anert Programm weider, dat Programm mécht säin eegene Socket op, an d’Plattform applizéiert d’Reegelen op deen neie Prozess an net op deen, deen den Text gewisen huet. Genee deen zweete Prozess gesäit d’Tunnelpolitik, an et ass net deen, deen Dir ageriicht hutt.
En ageschlossenen App kann dowéinst e Browser opmaachen, dee baussen dem Tunnel steet. En ausgeschlossene Browser kann Aarbecht un en App zréckginn, dee bannen dran steet. Béid Richtunge vun dëser Iwwerraschung si gewéinlecht Verhalen.
Den Deel vum Aarbechtsfloss, deen een net ageriicht huet
Politik pro App gëtt géint d’Identitéit vun enger ausféierbarer Datei oder engem Paket geschriwwen, an all Verbindung gëtt an deem Moment bewäert, wou se entsteet. De Browser, de Dokumentbekucker, de Mediaspiller an d’Deelblatt vum System droen all hir eege Identitéit, an all kritt säin eege Verdikt. En déiwe Link dréit Daten, net Politik.
Duerfir fillt d’Observatioun sech arbiträär un: deeselwechte Klick gëtt op zwou Manéieren geroutet, jee nodeem wéie Behandler äntwert. E Mailclient am Tunnel mécht e Link an engem Browser op, dee baussen dem Tunnel lieft, an d’Säit lued vun Ärer Heemadress. E Browser baussen dem Tunnel mécht en Dokument an engem Bekucker op, dee bannen dran lieft, an d’Datei kënnt duerch den Ausgang. Keent vun den zwee Resultater ass e Feeler am Client.
E Behandler, deen schonn leeft, mécht et méi schlëmm. Wann de Browser schonn op ass, gëtt de Link eng Noriicht un e bestoe Prozess, an dee Prozess behält d’Routing, déi en beim Start hat. De Behandler zoumaachen an nees opmaachen ännert d’Resultat, an duerfir kënnt de Problem ni op Ufro erëm.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Wéie Prozess huet d’Verbindung wierklech opgebaut
Mooss déi Säit, déi kritt, amplaz driwwer ze raisonéieren. Looss den Tunnel u, klick op en harmlose Link a kuck op d’Sockelen, déi den neie Programm hält.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
Den éischte Kommando nennt de Prozess hannert all opgeriichtem Socket op Linux, an den zweete mécht dat selwecht op Windows, andeems en d’Identitéit vum besëtzende Prozess opléist. Vergläicht den Numm vum Prozess mat deenen an Ärer Politik. Wann den Numm de Browser ass an de Browser ausgeschloss ass, huet de Klick den Tunnel duerch Design verlooss an net wéinst engem Feeler. Eng Politikreegel mat engem liewegen Socket koppelen ass déi ganz Method.
Widderhuelt d’Kontroll mam Behandler, deen schonn leeft, an duerno mat him zou. Déi zwee Resultater kënnen ënnerschiddlech sinn, an deen Ënnerscheed erkläert déi meescht sporadesch Berichter iwwer Linken, déi aus engem Tunnel entkommen.
D’Ofdeckung ass eng Eegenschaft vum Aarbechtsfloss
Wann eng Aufgab vum Ufank bis zum Enn am Tunnel bleiwe muss, muss all Komponent, déi se erreeche kann, bannen der Politik sinn: den Ufuerderer, de Behandler, de Bekucker an all Vermëttler, deen d’Plattform tëschent hinnen asetzt. Eng méi breet Ofdeckung ass dacks déi éierlech Äntwert, an et ass méi bëlleg wéi all Deelzil ze auditoren.
E Systemvermëttler auszeschléissen, fir eng eenzeg App ze reparéieren, ass e verbreete Feeler. Vermëttler gi gedeelt, also follegt d’Ausnam all aner App, déi déiselwecht Streck benotzt, meeschtens ouni datt et een mierkt, bis Wochen duerno e Bericht kënnt. Liest, wat soss vun der Komponent ofhänkt, ier Dir se ausschléisst.
Halt d’Identitéit och getrennt vun der Routing. E Link kann en Sessionstoken oder eng Kontidentitéit droen, onofhängeg dovun, wéi en Ausgang d’Ufro kritt. E richteg geroutete Klick kann dem Bestimmungsziel ëmmer nach genee soen, wien him gefollegt ass.
Dokumentéiert den Aarbechtsfloss, net déi éischt Këscht. Wann eng Aufgab iwwer véier Programmer geet, ass et den Diagramm mat véier Programmer, dee viraussoet, wou den Trafik geet, an d’Astellung fir eng eenzeg App ass just eng Zeil dovun.