Hvorfor lister Little Snitch fortsatt opp nettleseren under en VPN?

Du slår på VPN, åpner Little Snitch, og nettleseren står der med en forbindelse til et nettsted du trodde gikk gjennom tunnelen. Den oppføringen er ikke bevis på en lekkasje i seg selv. En lokal overvåking rapporterer hvilken prosess som åpnet en sockel på denne maskinen, og nettleseren åpnet den; VPN-klienten er en annen prosess som plukker opp pakkene etterpå. Begge utsagnene er sanne samtidig, og visningen viser deg det første.

Hva en lokal overvåking kan og ikke kan tilskrive

Tilskrivningen skjer ved sockelen. Kjernen vet hvilken prosess som eier en forbindelse, så Little Snitch kan merke en oppføring med appnavnet med høy sikkerhet. Det den ikke ser som standard, er den ytre forbindelsen VPN bygger rundt trafikken, fordi den tilhører en annen prosess.

Domenenavn er et svakere signal enn de ser ut som. I en HTTPS-forbindelse kan navnet komme fra en DNS-spørring, fra servernavnet som tilbys under håndtrykket, eller fra et omvendt oppslag av adressen, avhengig av hva systemet har observert. Ingenting av dette krever å dekryptere siden, og ingenting beviser hvor bytene gikk etterpå.

Så nettleseroppføringen svarer på hvem, ikke hvor. Behandle den som tilskrivningsdata og hent hvor fra en annen visning.

Trinn én: start med et tomt vindu i stedet for å rulle gjennom historikken

Gamle oppføringer kan ikke fortelle deg hva dagens konfigurasjon gjør. Bytt tidsfilteret til Fra nå, eller trykk Command-K, slik at vinduet bare viser forbindelser som dukker opp etter det øyeblikket.

Gjør så nøyaktig én uskyldig ting i appen du undersøker, for eksempel laste en side du har lov til å laste. Én handling, ett øyeblikk, slik at oppføringene som dukker opp kan knyttes til den uten gjetting. Vent et sekund eller to etter at den er ferdig, fordi en sidelasting gir en byge av forbindelser og ikke én. Å lese listen mens den fortsatt fylles, garanterer at du vurderer rekkefølgen feil.

Før du leser resultatet, sjekk om et søkefelt eller et statusfilter begrenser listen. Et filter som er igjen fra en tidligere økt, er den vanligste grunnen til at en forbindelse ser ut til å mangle når den bare er skjult, og det er også grunnen til at to personer som ser på samme maskin er uenige om hva som skjer.

Trinn to: ta med utvidelsesforbindelser for å se selve tunnelen

VPN-klienten på en gjeldende macOS-versjon er vanligvis en nettverksutvidelse og ikke en vanlig app. Slå på Vis nettverksutvidelser i overvåkingen, og forbindelsene den utvidelsen lager blir synlige sammen med alt annet.

Nå kan de to lagene leses sammen. Nettleseren er opphavet til forespørselen, og utvidelsen er transporten som bærer den. Å se begge er normalt og forventet; å se bare utvidelsen betyr vanligvis at visningen er filtrert, mens å se bare appen betyr at utvidelsesvisningen er av.

Ingen visning alene kartlegger hele veien. Rutingregler, DNS-oppførsel og eventuelle unntak per app ligger utenfor forbindelseslisten, så et fullstendig svar krever at de sjekkes separat.

Trinn tre: skill en ekte direkte forbindelse fra en visningseffekt

Hvis du mistenker at en bestemt destinasjon går direkte ut, navngi den destinasjonen og sjekk den for seg selv. Se på VPN-klientens egen ruting- og blokkeringskonfigurasjon for den verten eller appen, og bekreft om den skal være utelukket.

Det du ikke bør gjøre, er å blokkere hver synlig nettleseroppføring som reaksjon. Nettleseren må fortsatt lage forbindelsene sine, og å blokkere dem i overvåkingen omdirigerer dem ikke inn i tunnelen; det stopper dem bare. Det gjør et diagnostisk spørsmål til et avbrudd. Hvis en regel virker nødvendig, begrens den til den ene destinasjonen du kan begrunne, med en merknad om hvorfor den finnes.

Samme forsiktighet gjelder for domenekolonnen. Et navn som overrasker deg, kan være et delt vertsnavn, et endepunkt for innholdslevering eller et oppslag som skjedde før tunnelen kom opp, og å behandle det som bevis på en lekkasje fører til regler som ødelegger fungerende trafikk.

Trinn fire: hold visningen og regelen atskilt

Hver endring i denne øvelsen endrer hva overvåkingen viser. Ingen av dem endrer hva brannmuren tillater, og ingen av dem flytter trafikk inn i eller ut av tunnelen.

Når du er ferdig, sett filtrene tilbake til en tilstand du kan forklare, slik at neste person som åpner vinduet ikke leser en visning du etterlot. Hvis spørsmålet var om en destinasjon går gjennom tunnelen, svar på det ut fra ruting- og unntaksinnstillingene, og bruk deretter overvåkingen til å bekrefte resultatet i stedet for å gjette på det.