Een tweede browser openen maakt geen tweede VPN-route

Twee browsers, twee vensters, één op het werkaccount en één op een persoonlijk account, en de aanname is dat ze nu verschillende paden volgen. Dat doen ze niet. Profielscheiding houdt cookies apart, terwijl de routeringsbeslissing onder de browser valt en niets weet van welk profiel het vroeg. Een tweede pad vereist een regel die er een kiest, en er zijn maar weinig plekken waar die regel kan wonen.

Toestandscheiding is geen padscheiding

Een browserprofiel isoleert opslag: cookies, geschiedenis, extensies en soms inloggegevens. Die isolatie wordt binnen één procesboom afgedwongen en heeft niets te zeggen over welke interface een pakket draagt.

Privévensters gaan verder in uiterlijk en geen stap verder in routering. Alles wat de browser verstuurt, verlaat nog steeds het pad dat het besturingssysteem koos, tenzij iets tussen de socket en het netwerk het verandert. Opslagisolatie met netwerkisolatie verwarren levert verwachtingen op die geen enkele browserfabrikant heeft beloofd en geen enkele test kan vervullen.

Wat een route werkelijk selecteert

Vier dingen kunnen een ander pad selecteren: een VPN-regel per app die overeenkomt met het uitvoerbare bestand of het pakket, een proxy die in de browser of het systeem is geconfigureerd, een netwerknaamruimte of container, en een tweede fysiek apparaat. Elk verandert iets echts, en elk heeft zijn prijs.

Een regel per app is het gebruikelijke antwoord op mobiele platforms, waar de VPN-dienst een pakketlijst ontvangt. Op de desktop hangt het van de client af, en een regel die overeenkomt met het uitvoerbare bestand dekt elk profiel dat dat bestand opent. Als twee profielen echt verschillende paden nodig hebben, hebben ze meestal twee processen met verschillende identiteiten nodig in plaats van twee tabbladen. Daarom kan een gedeelde browserinstallatie nooit de grens zijn in een ontwerp per profiel.

Proxies op appniveau voegen nog een tussenpersoon toe

Een proxyinstelling in de browser maakt wel degelijk een apart pad, en het maakt ook een aparte vertrouwensrelatie met wie de proxy beheert. Dat is een legitieme regeling voor één profiel, en het is niet gelijk aan dekking van het hele apparaat.

Kies de proxy bewust: een SOCKS-listener op dezelfde host, een geauthenticeerde proxy binnen de tunnel, of een externe dienst. Een proxy mengen met een VPN met volledige tunnel levert geneste paden op waarin de faalmodi zich vermenigvuldigen.

Controleer het echte verzoek van elke browser

Stuur hetzelfde verzoek vanuit elke browser en vergelijk het waargenomen uitgaande adres, in plaats van de instellingenpagina's te vergelijken. Een geconfigureerde proxy die stilzwijgend geen verbinding maakt, is een zeer gangbare manier om weer op het standaardpad te belanden.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --proxy socks5h://127.0.0.1:1080 https://api.ipify.org
dig +short example.com

Herhaal daarna het verzoek met de proxy geforceerd en met de tunnel uit, om te zien welke laag het verkeer werkelijk draagt. Noteer ook het DNS-antwoord, want een browser met zijn eigen versleutelde resolver kan het systeempad volledig omzeilen en toch de pagina tonen die je verwachtte.

Schrijf de bedoelde toewijzing in twee regels op: welk proces welk pad gebruikt, en wie elk daarvan bezit. Houd ook de accountidentiteiten in het oog, want twee paden verhinderen niet dat dezelfde aanmelding aan beide bestemmingen wordt voorgelegd. Test opnieuw na de volgende browserupdate, want een proxyinstelling is makkelijk te verliezen en moeilijk op te merken.