Abrir um segundo navegador não cria uma segunda rota VPN

Dois navegadores, duas janelas, uma na conta de trabalho e outra numa conta pessoal, e a suposição é que agora seguem caminhos diferentes. Não seguem. A separação de perfis mantém os cookies à parte, enquanto a decisão de encaminhamento acontece abaixo do navegador e não sabe qual perfil perguntou. Um segundo caminho exige uma regra que o selecione, e há muito poucos lugares onde essa regra pode viver.

Separar o estado não é separar o caminho

Um perfil de navegador isola o armazenamento: cookies, histórico, extensões e por vezes credenciais. Esse isolamento é imposto dentro de uma única árvore de processos e não tem nada a dizer sobre qual interface transporta um pacote.

As janelas privadas vão mais longe na aparência e nem um passo mais longe no encaminhamento. Tudo o que o navegador envia continua a sair pelo caminho escolhido pelo sistema operativo, a menos que algo entre o socket e a rede o mude. Confundir o isolamento de armazenamento com o isolamento de rede gera expectativas que nenhum fabricante de navegadores prometeu e que nenhum teste consegue satisfazer.

O que seleciona realmente uma rota

Quatro coisas podem selecionar um caminho diferente: uma regra de VPN por aplicação que corresponda ao executável ou ao pacote, um proxy configurado dentro do navegador ou do sistema, um espaço de nomes de rede ou um contentor, e um segundo dispositivo físico. Cada uma muda algo real, e cada uma tem o seu custo.

Uma regra por aplicação é a resposta habitual nas plataformas móveis, onde o serviço de VPN recebe uma lista de pacotes. No computador depende do cliente, e uma regra que corresponde ao executável cobre todos os perfis que esse executável abrir. Se dois perfis precisam mesmo de caminhos diferentes, normalmente precisam de dois processos com identidades diferentes em vez de dois separadores. É por isso que uma instalação partilhada do navegador nunca pode ser a fronteira num desenho por perfis.

Os proxies ao nível da aplicação acrescentam outro intermediário

Uma definição de proxy no navegador cria de facto um caminho separado, e também cria uma relação de confiança separada com quem opera o proxy. É um arranjo legítimo para um perfil, e não equivale a uma cobertura de todo o dispositivo.

Escolha o proxy deliberadamente: um ouvinte SOCKS no mesmo anfitrião, um proxy autenticado dentro do túnel, ou um serviço remoto. Misturar um proxy com uma VPN de túnel completo produz caminhos aninhados em que os modos de falha se multiplicam.

Verifique o pedido real de cada navegador

Envie o mesmo pedido de cada navegador e compare o endereço de saída observado, em vez de comparar as páginas de definições. Um proxy configurado que falha silenciosamente a ligação é uma forma muito comum de acabar de volta no caminho predefinido.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --proxy socks5h://127.0.0.1:1080 https://api.ipify.org
dig +short example.com

Depois repita o pedido com o proxy forçado e com o túnel desligado, para ver que camada transporta realmente o tráfego. Anote também a resposta DNS, porque um navegador com o seu próprio resolvedor cifrado pode contornar por completo o caminho do sistema e ainda assim mostrar a página que esperava.

Escreva a correspondência pretendida em duas linhas: que processo usa que caminho, e quem possui cada um. Tenha também em vista as identidades das contas, porque dois caminhos não impedem que o mesmo início de sessão seja apresentado a ambos os destinos. Volte a testar após a próxima atualização do navegador, porque uma definição de proxy perde-se facilmente e é difícil de notar.