„NetGuard“ SOCKS režimas apima TCP, o ne kiekvieną protokolą

„NetGuard“ užima „Android“ VPN sąsają, kad filtruotų srautą, ir gali perduoti palaikomus ryšius SOCKS galiniam taškui. Šie du faktai dažnai skaitomi kaip „telefonas yra VPN“, tačiau toks mechanizmas tokios išvados nepalaiko. Filtras mato paketus; tarpinė mato tik tuos ryšius, kurie jai iš tikrųjų buvo perduoti. Tarp šių dviejų teiginių yra visas aprėpties klausimas.

Pradinio projekto DUK dokumentuoja ir vienos paslaugos apribojimą, ir SOCKS parinktį. Parinkties egzistavimas nėra įrodymas, kad kiekvienas leidžiamas paketas ją naudoja, ir aprėpties klausimai kyla būtent iš šios spragos.

Du persiuntimo keliai vienoje programoje

TCP įgyvendinimo pusėje yra SOCKS ryšių apdorojimas, todėl leidžiamas TCP ryšys gali būti suderintas su tarpine ir perduotas per ją. UDP pusėje yra atskiras lizdo kelias, o jo siuntimo ir priėmimo apdorojimas nepriklauso nuo šio TCP derinimo. Todėl filtro leidžiamas duomenų gramas gali pasiekti įprastą tinklą niekada nepraeidamas per tarpinę. Niekas iš to nėra programos defektas; tai tiesiog tai, ką įgyvendina abu keliai.

Šis skirtumas turi pasekmę, kurią žmonės neteisingai apibūdina abiem kryptimis. Vadinti kiekvieną UDP paketą nutekėjimu reiškia ignoruoti blokavimo taisykles, nes atmestas duomenų gramas niekada neišeina. Vadinti visą išdėstymą VPN reiškia ignoruoti leidžiamą tiesioginį kelią, nes dalis srauto tikrai išeina be tarpinės. Tai, ką turite, yra filtruotas įrenginys su daline tarpine, o sąžiningas apibūdinimas yra matrica, o ne etiketė.

UDP reklamavimas nėra jo įgyvendinimas

SOCKS serveris, teigiantis palaikantis UDP, neprideda atitinkamo kliento pusės apdorojimo programai jūsų telefone. Teorinės protokolo savybės ir įdiegtos versijos elgsena yra skirtingos temos, ir tik antroji apibūdina jūsų srautą.

Patikrinkite versiją ir konfigūraciją, kurią iš tikrųjų naudojate, tada išbandykite nekenksmingą duomenų gramų srautą ir stebėkite, ar jis pasirodo tarpinėje. Visa kita yra išvada iš funkcijų sąrašo, o funkcijų sąrašai apibūdina ketinimus, o ne kodo kelius.

DNS yra trečias kelias, o ne smulkmena

Vardų skiriamoji geba prideda savo šaką prie matricos. Vietinis DNS persiuntėjas, įprasta UDP užklausa, paskirties hosto vardas, kurį išsprendžia pati tarpinė, ir užšifruotas sprendėjas naršyklėje yra keturi skirtingi išdėstymai. Jie skiriasi tuo, kas mato užklausą ir kuris tinklo kelias ją neša, o jų maišymas duoda testą, kuris nieko neįrodo apie kitus.

Sąmoningai nuspręskite, kurio norite. Jei reikalavimas yra, kad vardai būtų sprendžiami per tunelį, vien naršyklės nustatymas to neužtikrins, o tarpinė, kuri pati sprendžia hosto vardus, pakeičia atsakymą tik tiems ryšiams, kuriuos ji iš tikrųjų apdoroja.

Per tarpinę vykstantis perdavimas nėra automatiškai privatus

Paprastas SOCKS nėra užšifruota grandis nuo telefono iki tarpinės. Jei galinis taškas pasiekiamas kitu apsaugotu keliu, įvardykite tą kelią ir jo gedimo politiką, nes grįžimas į atvirą tinklą be įspėjimo paverčia privatų išdėstymą viešu. Svarbi ir pačios tarpinės autentifikacija: atviras klausytojas bendrame įrenginyje yra paslauga, už kurią niekas neatsiskaito.

Išdėstymai tarp profilių nusipelno tokios pačios apžvalgos. Darbo profilio VPN apsaugo tik tą srautą, kuris naudoja jo kelią, o asmeninio profilio ugniasienės ir darbo tunelio sambūvis neįrodo, kad tolesnis ugniasienės ryšys pasiekia tą tunelį. Tikrinkite pasiekiamumą ir autentifikaciją, o ne darykite prielaidą, kad du profiliai bendradarbiauja.

Aprėptį audituokite matrica, o ne puslapio įkėlimu

Autorizuotam vertinimui pasirinkite nekenksmingus pavyzdžius, atstovaujančius kiekvienai jums svarbiai klasei: reikalingas TCP, leidžiamas UDP ir DNS abiejose adresų šeimose. Kiekvienam užrašykite, ar jis buvo tarpinės, užblokuotas, ar išsiųstas tiesiogiai. Ta viena lentelė yra rezultatas, ir ji daug naudingesnė už įkeltos puslapio ekrano kopiją.

Jei reikalavimas yra, kad visas pasirinktas programos srautas eitų per nuotolinį tunelį, pasirinkite įgyvendinimą, kuris aiškiai palaiko kombinuotą filtravimą ir tuneliavimą. Sudėtis su vien TCP tarpine išlieka naudinga siauresnėms užduotims, su sąlyga, kad kitas srautas apdorojamas sąmoningai, o ne pamirštamas.