Å åpne en ny nettleser lager ikke en ny VPN-rute

To nettlesere, to vinduer, det ene på jobbkontoen og det andre på en personlig konto, og antagelsen er at de nå følger ulike baner. Det gjør de ikke. Profilseparasjon holder informasjonskapsler fra hverandre, mens beslutningen om ruten tas under nettleseren og ikke vet hvilken profil som spurte. En ny bane krever en regel som velger den, og det er bare noen få steder en slik regel kan bo.

Tilstandsseparasjon er ikke baneseparasjon

En nettleserprofil isolerer lagring: informasjonskapsler, historikk, utvidelser og noen ganger påloggingsdetaljer. Den isolasjonen håndheves inne i ett prosesstre og har ingenting å si om hvilket grensesnitt som bærer en pakke.

Private vinduer går lenger i utseende og ikke ett skritt lenger i ruting. Alt nettleseren sender forlater fortsatt banen operativsystemet har valgt, med mindre noe mellom sokkelen og nettverket endrer den. Å forveksle lagringsisolasjon med nettverksisolasjon skaper forventninger som ingen nettleserleverandør har lovet og ingen test kan innfri.

Hva som faktisk velger en rute

Fire ting kan velge en annen bane: en VPN-regel per app som samsvarer med den kjørbare filen eller pakken, en proxy konfigurert inne i nettleseren eller systemet, et nettverksnavnerom eller en container, og en annen fysisk enhet. Hver av dem endrer noe virkelig, og hver har sin pris.

En regel per app er det vanlige svaret på mobile plattformer, der VPN-tjenesten mottar en pakkeliste. På en datamaskin avhenger det av klienten, og en regel som samsvarer med den kjørbare filen, dekker enhver profil som den filen åpner. Hvis to profiler virkelig trenger ulike baner, trenger de vanligvis to prosesser med ulike identiteter i stedet for to faner. Derfor kan en delt nettleserinstallasjon aldri være grensen i et design per profil.

Proxier på appnivå legger til en ny mellommann

En proxyinnstilling i nettleseren lager faktisk en separat bane, og den lager også et separat tillitsforhold til den som driver proxyen. Det er en legitim ordning for én profil, og den tilsvarer ikke dekning for hele enheten.

Velg proxyen med vilje: en SOCKS-lytter på samme vert, en autentisert proxy inne i tunnelen eller en ekstern tjeneste. Å blande en proxy med en VPN med full tunnel gir nestet baner der feilmodusene multipliseres.

Kontroller hver nettlesers faktiske forespørsel

Send den samme forespørselen fra hver nettleser og sammenlign den observerte utgangsadressen, i stedet for å sammenligne innstillingssidene. En konfigurert proxy som lydløst ikke får koblet til, er en svært vanlig måte å havne tilbake på standardbanen.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --proxy socks5h://127.0.0.1:1080 https://api.ipify.org
dig +short example.com

Gjenta deretter forespørselen med proxyen tvunget og med tunnelen nede, for å se hvilket lag som faktisk bærer trafikken. Noter også DNS-svaret, fordi en nettleser med sin egen krypterte resolver kan omgå systembanen helt og likevel vise siden du forventet.

Skriv ned den tiltenkte tilordningen på to linjer: hvilken prosess som bruker hvilken bane, og hvem som eier hver av dem. Ha også kontoidentitetene i sikte, fordi to baner ikke hindrer at samme pålogging presenteres for begge destinasjonene. Test på nytt etter neste nettleseroppdatering, fordi en proxyinnstilling lett går tapt og er vanskelig å legge merke til.