Sadalīts tunelis: kāpēc saite atveras ārpus jūsu iestatītā VPN
Maršrutēšana seko procesam, kas atver ligzdu, nevis lietotnei, kas parādīja saiti. Pierādiet, kura programma izveido savienojumu, pirms paplašināt izņēmumus.
Lietotnes vadīšana caur tuneli nepārnes tās maršrutēšanu uz visu, ko šī lietotne palaiž, pat ja saskarne liecina pretējo. Saite nodod pieprasījumu citai programmai, šī programma atver savu ligzdu, un platforma noteikumus piemēro jaunajam procesam, nevis tam, kas parādīja tekstu. Tieši šo otro procesu tuneļa politika patiešām redz, un tas nav tas, kuru jūs iestatījāt.
Tāpēc iekļauta lietotne var atvērt pārlūku, kas atrodas ārpus tuneļa. Izslēgts pārlūks var nodot darbu atpakaļ lietotnei, kas atrodas tā iekšienē. Abi šī pārsteiguma virzieni ir parasta uzvedība.
Darbplūsmas daļa, ko neviens nav iestatījis
Katrai lietotnei paredzētā politika tiek rakstīta pret izpildāmā faila vai pakotnes identitāti, un katrs savienojums tiek novērtēts tajā brīdī, kad tas rodas. Pārlūks, dokumentu skatītājs, multivides atskaņotājs un sistēmas koplietošanas lapa katrs nes savu identitāti, un katrs saņem savu spriedumu. Dziļā saite pārnēsā datus, nevis politiku.
Tāpēc novērojums šķiet patvaļīgs: viens un tas pats klikšķis tiek maršrutēts divos veidos atkarībā no tā, kura apdarinātājs atbild. Pasta klients tunelī atver saiti pārlūkā, kas dzīvo ārpus tuneļa, un lapa ielādējas no jūsu mājas adreses. Pārlūks ārpus tuneļa atver dokumentu skatītājā, kas dzīvo tā iekšienē, un fails ierodas caur izeju. Neviens no abiem rezultātiem nav klienta defekts.
Jau darbojošs apdarinātājs situāciju pasliktina. Ja pārlūks jau ir atvērts, saite kļūst par ziņojumu esošam procesam, un šis process saglabā maršrutēšanu, kāda tam bija startējot. Apdarinātāja aizvēršana un atkārtota atvēršana maina rezultātu, un tāpēc problēma nekad neatkārtojas pēc pieprasījuma.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Kurš process patiešām izveidoja savienojumu
Mēriet saņēmēju pusi, tā vietā lai par to spriestu. Turiet tuneli ieslēgtu, noklikšķiniet uz nekaitīgas saites un apskatiet ligzdas, kuras tur jaunā programma.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
Pirmā komanda nosauc procesu aiz katras izveidotās ligzdas Linux sistēmā, un otrā dara to pašu Windows sistēmā, atrisinot īpašniekprocesa identifikatoru. Salīdziniet procesa nosaukumu ar nosaukumiem savā politikā. Ja nosaukums ir pārlūks un pārlūks ir izslēgts, klikšķis pameta tuneli pēc dizaina, nevis defekta dēļ. Politikas noteikuma sasaiste ar dzīvu ligzdu ir visa metode.
Atkārtojiet pārbaudi ar jau darbojošos apdarinātāju un pēc tam ar aizvērtu. Abi rezultāti var atšķirties, un šī atšķirība izskaidro lielāko daļu neregulāro ziņojumu par saitēm, kas izbēg no tuneļa.
Pārklājums ir darbplūsmas īpašība
Ja uzdevumam jāpaliek tunelī no sākuma līdz beigām, katram komponentam, ko tas var sasniegt, jābūt politikas iekšpusē: palaidējam, apdarinātājam, skatītājam un jebkuram starpniekam, ko platforma ievieto starp tiem. Plašāks pārklājums bieži ir godīgā atbilde, un tas ir lētāk nekā katra koplietošanas mērķa audits.
Izslēgt sistēmas starpnieku, lai salabotu vienu lietotni, ir izplatīta kļūda. Starpnieki ir koplietoti, tāpēc izņēmums seko katrai citai lietotnei, kas izmanto to pašu ceļu, parasti bez neviena ievērības, līdz pēc nedēļām pienāk ziņojums. Izlasiet, kas vēl ir atkarīgs no komponenta, pirms to izslēdzat.
Turiet identitāti atsevišķi no maršrutēšanas. Saite var pārnēsāt sesijas žetonu vai konta identifikatoru neatkarīgi no tā, kura izeja saņem pieprasījumu. Pareizi maršrutēts klikšķis joprojām var precīzi pateikt galamērķim, kas tam sekoja.
Dokumentējiet darbplūsmu, nevis pirmo izvēles rūtiņu. Kad uzdevums aptver četras programmas, diagramma ar četrām programmām ir tā, kas paredz, kur plūdīs trafiks, un vienas lietotnes iestatījums ir tikai viena tās rinda.