Зошто Little Snitch сѐ уште го наведува прелистувачот под VPN?

Ја вклучувате VPN, го отворате Little Snitch и прелистувачот е веднаш таму, со врска до страница за која мислевте дека оди низ тунелот. Тој запис сам по себе не е доказ за истекување. Локалниот монитор известува кој процес отворил сокет на оваа машина, а прелистувачот навистина го отворил; VPN клиентот е втор процес што ги презема тие пакети подоцна. Двете тврдења се вистинити во исто време, а екранот ви го покажува првото.

Што може, а што не може да припише локалниот монитор

Припишувањето се случува кај сокетот. Јадрото знае кој процес поседува врска, па Little Snitch може со висока сигурност да го означи записот со името на апликацијата. Она што не го гледа стандардно е надворешната врска што VPN ја гради околу тој сообраќај, бидејќи таа му припаѓа на друг процес.

Домејнските имиња се послаб сигнал отколку што изгледаат. Кај HTTPS врска името може да дојде од DNS барање, од името на серверот понудено за време на ракувањето или од обратно пребарување на адресата, во зависност од тоа што го набљудувал системот. Ништо од тоа не бара дешифрирање на страницата и ништо не докажува каде отишле бајтите потоа.

Значи записот на прелистувачот одговара на прашањето кој, а не каде. Третирајте го како податоци за припишување и земете го каде од друг приказ.

Прв чекор: почнете со празен прозорец наместо лизгање низ историјата

Старите записи не можат да ви кажат што прави тековната конфигурација. Префрлете го временскиот филтер на Од сега, или притиснете Command-K, за прозорецот да покажува само врски што се појавуваат по тој момент.

Потоа направете точно едно безопасно нешто во апликацијата што ја истражувате, на пример вчитајте страница што ви е дозволено да ја вчитате. Една акција, еден момент, за да можат појавените записи да се поврзат со неа без погодување. Почекајте секунда или две по завршувањето, бидејќи вчитувањето страница создава рафал врски, а не една. Читањето на списокот додека тој сѐ уште се полни гарантира дека погрешно ќе го процените редот.

Пред да го прочитате резултатот, проверете дали полето за пребарување или филтерот за статус не го стеснуваат списокот. Филтер оставен од претходна сесија е најчестата причина врската да изгледа отсутна кога таа е само скриена, и исто така причината зошто двајца што гледаат иста машина не се согласуваат за тоа што се случува.

Втор чекор: вклучете ги врските на екстензиите за да го видите самиот тунел

VPN клиентот на современа верзија на macOS обично е мрежна екстензија, а не обична апликација. Вклучете Прикажи мрежни екстензии во Monitor и врските што ги прави таа екстензија стануваат видливи покрај сѐ друго.

Сега двата слоја можат да се читаат заедно. Прелистувачот е изворот на барањето, а екстензијата е транспортот што го носи. Гледањето на двете е нормално и очекувано; гледањето само на екстензијата обично значи дека приказот е филтриран, а гледањето само на апликацијата значи дека приказот на екстензии е исклучен.

Ниту еден приказ сам не го инвентаризира целиот пат. Правилата за рутирање, однесувањето на DNS и какви било исклучоци по апликација живеат надвор од списокот на врски, па целосниот одговор бара тие да се проверат одделно.

Трет чекор: разликувајте вистинска директна врска од ефект на приказот

Ако се сомневате дека одредено одредиште излегува директно, именувајте го тоа одредиште и проверете го самото. Погледнете ја сопствената конфигурација за рутирање и блокирање на VPN клиентот за тој домаќин или апликација и потврдете дали треба да биде исклучено.

Она што не треба да го правите е како одговор да го блокирате секој видлив запис на прелистувачот. Прелистувачот сепак мора да ги направи своите врски, а нивното блокирање во мониторот не ги пренасочува во тунелот; само ги запира. Тоа дијагностичко прашање го претвора во прекин. Ако некое правило изгледа неопходно, ограничете го на едно одредиште што можете да го оправдате, со забелешка зошто постои.

Истото внимание важи и за колоната со домен. Име што ве изненадува може да биде споделено име на домаќин, крајна точка за доставување содржина или пребарување што се случило пред тунелот да се крене, а неговото третирање како доказ за истекување води до правила што кршат работен сообраќај.

Четврт чекор: држете го приказот и правилото одделно

Секоја промена во оваа вежба менува што прикажува мониторот. Ниту една не менува што дозволува огнениот ѕид и ниту една не преместува сообраќај во тунелот или надвор од него.

Кога ќе завршите, вратете ги филтрите во состојба што можете да ја објасните, за следниот човек што ќе го отвори прозорецот да не чита приказ што сте го оставиле. Ако прашањето беше дали одредиштето оди низ тунелот, одговорете го од поставките за рутирање и исклучоци, потоа користете го мониторот за да го потврдите резултатот наместо да го погодувате.