Mod SOCKS NetGuard meliputi TCP, bukan setiap protokol

NetGuard menduduki antara muka VPN Android untuk menapis trafik, dan boleh menyerahkan sambungan yang disokong kepada titik akhir SOCKS. Kedua-dua fakta ini sering dibaca sebagai “telefon berada pada VPN”, satu kesimpulan yang tidak disokong oleh mekanisme ini. Penapis melihat paket; proksi hanya melihat sambungan yang benar-benar diserahkan kepadanya. Antara kedua-dua kenyataan itu terletak seluruh persoalan liputan.

FAQ projek asal mendokumentasikan kedua-dua had satu perkhidmatan dan pilihan SOCKS. Kewujudan pilihan itu bukan bukti bahawa setiap paket yang dibenarkan menggunakannya, dan dari jurang itulah soalan liputan timbul.

Dua laluan penghantaran dalam satu aplikasi

Bahagian TCP pelaksanaan mengandungi pengendalian sambungan SOCKS, jadi sambungan TCP yang dibenarkan boleh dirunding dengan proksi dan dibawa melaluinya. Bahagian UDP mempunyai laluan soket berasingan, dan pengendalian penghantaran serta penerimaannya tidak bergantung pada rundingan TCP itu. Oleh itu, datagram yang dibenarkan penapis boleh sampai ke rangkaian biasa tanpa pernah melalui proksi. Tiada apa-apa dalam hal ini yang merupakan kecacatan aplikasi; ia semata-mata apa yang dilaksanakan oleh kedua-dua laluan.

Perbezaan ini mempunyai akibat yang orang salah nyatakan dalam kedua-dua arah. Menyebut setiap paket UDP sebagai kebocoran mengabaikan peraturan penyekatan, kerana datagram yang ditolak tidak pernah keluar. Menyebut seluruh susunan sebagai VPN mengabaikan laluan terus yang dibenarkan, kerana sebahagian trafik memang keluar tanpa proksi. Apa yang anda ada ialah peranti tertapis dengan proksi separa, dan penerangan jujurnya ialah matriks, bukan label.

Mengiklankan UDP bukan melaksanakannya

Pelayan SOCKS yang mendakwa menyokong UDP tidak menambah pengendalian sebelah klien yang sepadan pada aplikasi di telefon anda. Ciri teori protokol dan tingkah laku binaan yang dipasang ialah subjek berbeza, dan hanya yang kedua menerangkan trafik anda.

Periksa versi dan konfigurasi yang benar-benar anda jalankan, kemudian uji aliran datagram yang tidak berbahaya dan perhatikan sama ada ia muncul pada proksi. Apa-apa yang lain ialah inferens daripada senarai ciri, dan senarai ciri menerangkan niat, bukan laluan kod.

DNS ialah laluan ketiga, bukan butiran

Penyelesaian nama menambah cabangnya sendiri pada matriks. Pemaju DNS tempatan, pertanyaan UDP biasa, nama hos destinasi yang diselesaikan oleh proksi itu sendiri dan penyelesai tersulit dalam pelayar ialah empat susunan berbeza. Ia berbeza dari segi siapa melihat pertanyaan itu dan laluan rangkaian mana yang membawanya, dan mencampurkannya menghasilkan ujian yang tidak membuktikan apa-apa tentang yang lain.

Tentukan dengan sengaja mana yang anda mahu. Jika keperluan ialah nama diselesaikan melalui terowong, tetapan pelayar sahaja tidak akan menyampaikannya, dan proksi yang menyelesaikan nama hos sendiri hanya mengubah jawapan untuk sambungan yang benar-benar dikendalikannya.

Pengangkutan melalui proksi tidak automatik bersifat peribadi

SOCKS biasa bukan pautan tersulit antara telefon dan proksi. Jika titik akhir dicapai melalui laluan terlindung yang lain, namakan laluan itu dan dasar kegagalannya, kerana pengunduran ke rangkaian terbuka menjadikan susunan peribadi sebagai awam tanpa amaran. Pengesahan proksi itu sendiri juga penting: pendengar terbuka pada peranti kongsi ialah perkhidmatan yang tiada siapa bertanggungjawab.

Susunan merentas profil wajar mendapat penelitian yang sama. VPN profil kerja hanya melindungi trafik yang menggunakan laluannya, dan kewujudan bersama tembok api profil peribadi dengan terowong kerja tidak membuktikan sambungan seterusnya tembok api itu sampai ke terowong tersebut. Sahkan ketercapaian dan pengesahan daripada menganggap kedua-dua profil bekerjasama.

Audit liputan dengan matriks, bukan dengan muat halaman

Untuk penilaian yang dibenarkan, pilih contoh tidak berbahaya yang mewakili setiap kelas yang anda pedulikan: TCP yang diperlukan, UDP yang dibenarkan dan DNS dalam kedua-dua keluarga alamat. Bagi setiap satu, rekod sama ada ia diproksikan, disekat atau dihantar terus. Jadual tunggal itulah hasilnya, dan ia jauh lebih berguna daripada tangkapan skrin halaman yang dimuatkan.

Jika keperluan ialah semua trafik aplikasi terpilih mesti merentasi terowong jauh, pilih pelaksanaan dengan penapisan dan terowong gabungan yang disokong secara jelas. Komposisi proksi TCP sahaja kekal berguna untuk tugas yang lebih sempit, dengan syarat trafik lain dikendalikan dengan sengaja dan bukan dilupakan.