Kvifor listar Little Snitch framleis nettlesaren under ein VPN?

Du slår på VPN, opnar Little Snitch, og nettlesaren står der med ein samband til eit nettstad du trudde gjekk gjennom tunnelen. Den oppføringa er ikkje prov på lekkasje i seg sjølv. Ei lokal overvaking rapporterer kva prosess som opna ein sockel på denne maskina, og nettlesaren opna han; VPN-klienten er ein annan prosess som plukkar opp pakkane etterpå. Begge utsegnene er sanne samstundes, og visinga syner deg det første.

Kva ei lokal overvaking kan og ikkje kan tilskriva

Tilskrivinga skjer ved sockelen. Kjernen veit kva prosess som eig ein samband, så Little Snitch kan merka ei oppføring med appnamnet med stor visse. Det han ikkje ser som standard, er den ytre sambandet VPN byggjer rundt trafikken, fordi det høyrer til ein annan prosess.

Domenenamn er eit svakare signal enn dei ser ut som. I eit HTTPS-samband kan namnet koma frå ei DNS-spørjing, frå servernamnet som vert bode under handtrykket, eller frå eit omvendt oppslag av adressa, avhengig av kva systemet har observert. Ingenting av dette krev å dekryptera sida, og ingenting beviser kvar byta gjekk etterpå.

Så nettlesaroppføringa svarar på kven, ikkje kvar. Handsama ho som tilskrivingsdata og hent kvar frå ei anna vising.

Steg éin: start med eit tomt vindauge i staden for å rulle gjennom historia

Gamle oppføringar kan ikkje fortelja deg kva dagens konfigurasjon gjer. Byt tidsfilteret til Frå no, eller trykk Command-K, slik at vindauget berre syner samband som dukkar opp etter det augneblinken.

Gjer så nøyaktig éin uskuldig ting i appen du granskar, til dømes lastar ei side du har lov til å lasta. Éi handling, eitt augneblink, slik at oppføringane som dukkar opp kan knytast til ho utan gissing. Vent eit sekund eller to etter at ho er ferdig, fordi ei sidelasting gjev ei bylgje av samband og ikkje eitt. Å lesa lista medan ho framleis fyllest, garanterer at du vurderer rekkjefølgja feil.

Før du les resultatet, sjekk om eit søkjefelt eller eit statusfilter avgrensar lista. Eit filter som er att frå ei tidlegare økt, er den vanlegaste grunnen til at eit samband ser ut til å mangla når det berre er skjult, og det er også grunnen til at to personar som ser på same maskina er usamde om kva som skjer.

Steg to: ta med utvidingssamband for å sjå sjølve tunnelen

VPN-klienten på ein gjeldande macOS-versjon er vanlegvis ei nettverksutviding og ikkje ein vanleg app. Slå på Vis nettverksutvidingar i overvakinga, og sambanda som den utvidinga lagar vert synlege saman med alt anna.

No kan dei to laga lesast saman. Nettlesaren er opphavet til førespurnaden, og utvidinga er transporten som ber han. Å sjå begge er normalt og venta; å sjå berre utvidinga tyder vanlegvis at visinga er filtrert, medan å sjå berre appen tyder at utvidingsvisinga er av.

Inga vising åleine kartlegg heile vegen. Rutingsreglar, DNS-åtferd og eventuelle unnatak per app ligg utanfor sambandslista, så eit fullstendig svar krev at dei vert sjekka separat.

Steg tre: skil eit ekte direkte samband frå ein visingseffekt

Viss du mistenkjer at ein bestemt destinasjon går direkte ut, namngi den destinasjonen og sjekk han for seg sjølv. Sjå på VPN-klienten si eiga rutings- og blokkeringskonfigurasjon for den verten eller appen, og stadfest om han skal vera utelaten.

Det du ikkje bør gjera, er å blokkera kvar synleg nettlesaroppføring som reaksjon. Nettlesaren må framleis laga sambanda sine, og å blokkera dei i overvakinga omdirigerer dei ikkje inn i tunnelen; det stoppar dei berre. Det gjer eit diagnostisk spørsmål til eit avbrot. Viss ein regel verkar nødvendig, avgrens han til den eine destinasjonen du kan grunngje, med ei merknad om kvifor han finst.

Same varsemd gjeld for domenekolonnen. Eit namn som overraskar deg, kan vera eit delt vertsnamn, eit endepunkt for innhaldslevering eller eit oppslag som skjedde før tunnelen kom opp. Å handsama det som prov på lekkasje fører til reglar som øydelegg fungerande trafikk.

Steg fire: hald visinga og regelen skilde

Kvar endring i denne øvinga endrar kva overvakinga syner. Ingen av dei endrar kva brannmuren tillèt, og ingen av dei flyttar trafikk inn i eller ut av tunnelen.

Når du er ferdig, set filtra tilbake til ein tilstand du kan forklara, slik at neste person som opnar vindauget ikkje les ei vising du lét etter deg. Viss spørsmålet var om ein destinasjon går gjennom tunnelen, svar på det ut frå rutings- og unnataksinnstillingane, og bruk deretter overvakinga til å stadfesta resultatet i staden for å gissa på det.