Por que o Little Snitch ainda lista o navegador sob uma VPN?

Você liga a VPN, abre o Little Snitch e o navegador está ali, com uma conexão para um site que você pensava passar pelo túnel. Essa entrada não é, por si só, prova de vazamento. Um monitor local informa qual processo abriu um socket nesta máquina, e o navegador o abriu; o cliente VPN é um segundo processo que recolhe esses pacotes depois. As duas afirmações são verdadeiras ao mesmo tempo, e a tela mostra a primeira.

O que um monitor local pode e não pode atribuir

A atribuição acontece no socket. O kernel sabe qual processo é dono de uma conexão, então o Little Snitch pode rotular uma entrada com o nome do app com grande confiança. O que ele não vê por padrão é a conexão externa que a VPN constrói em volta desse tráfego, porque ela pertence a outro processo.

Nomes de domínio são um sinal mais fraco do que parecem. Numa conexão HTTPS o nome pode vir de uma consulta DNS, do nome de servidor oferecido durante o handshake ou de uma busca reversa do endereço, conforme o que o sistema observou. Nada disso exige descriptografar a página, e nada prova para onde os bytes foram depois.

Então a entrada do navegador responde a quem, não a onde. Trate-a como dado de atribuição e obtenha o onde numa outra vista.

Passo um: comece com uma janela vazia em vez de rolar o histórico

Entradas antigas não podem dizer o que a configuração atual faz. Mude o filtro de tempo para A partir de agora, ou pressione Command-K, para que a janela mostre apenas conexões que apareçam depois desse momento.

Depois faça exatamente uma coisa inofensiva no aplicativo que está investigando, como carregar uma página que você tem permissão de carregar. Uma ação, um momento, para que as entradas que aparecem possam ser ligadas a ela sem adivinhação. Espere um segundo ou dois após terminar, porque o carregamento de uma página produz uma rajada de conexões e não uma só. Ler a lista enquanto ela ainda enche garante que você julgará a ordem errado.

Antes de ler o resultado, verifique se um campo de busca ou um filtro de estado está estreitando a lista. Um filtro deixado de uma sessão anterior é o motivo mais comum de uma conexão parecer ausente quando só está oculta, e também é por isso que duas pessoas olhando a mesma máquina discordam sobre o que está acontecendo.

Passo dois: inclua as conexões das extensões para ver o próprio túnel

O cliente VPN numa versão atual do macOS costuma ser uma extensão de rede e não um app comum. Ative Mostrar extensões de rede no Monitor e as conexões que essa extensão faz ficam visíveis junto de tudo o mais.

Agora as duas camadas podem ser lidas juntas. O navegador é a origem do pedido, e a extensão é o transporte que o leva. Ver as duas é normal e esperado; ver só a extensão geralmente significa que a vista está filtrada, enquanto ver só o aplicativo significa que a vista de extensões está desligada.

Nenhuma vista sozinha inventaria o caminho todo. Regras de roteamento, comportamento do DNS e quaisquer exceções por app ficam fora da lista de conexões, então uma resposta completa exige verificá-las em separado.

Passo três: distinga uma conexão direta real de um efeito de tela

Se você suspeita que um destino específico está saindo direto, nomeie esse destino e verifique-o sozinho. Olhe a configuração de roteamento e bloqueio do próprio cliente VPN para esse host ou app, e confirme se ele deveria estar excluído.

O que você não deve fazer é bloquear, como reação, cada entrada visível do navegador. O navegador continua tendo de fazer suas conexões, e bloqueá-las no monitor não as redireciona para o túnel; apenas as impede. Isso transforma uma pergunta de diagnóstico em uma indisponibilidade. Se uma regra parecer necessária, limite-a ao único destino que você consegue justificar, com uma nota sobre por que ela existe.

O mesmo cuidado vale para a coluna de domínio. Um nome que surpreende pode ser um nome de host compartilhado, um endpoint de entrega de conteúdo ou uma consulta que ocorreu antes de o túnel subir, e tratá-lo como prova de vazamento leva a regras que quebram tráfego que funciona.

Passo quatro: mantenha a vista e a regra separadas

Cada mudança neste exercício altera o que o monitor mostra. Nenhuma altera o que o firewall permite, e nenhuma move tráfego para dentro ou para fora do túnel.

Ao terminar, devolva os filtros a um estado que você consiga explicar, para que a próxima pessoa que abrir a janela não leia uma vista que você deixou para trás. Se a pergunta era se um destino passa pelo túnel, responda pelos ajustes de roteamento e exclusão e, em seguida, use o monitor para confirmar o resultado em vez de adivinhá-lo.