De ce Little Snitch afișează în continuare browserul sub un VPN?

Pornești VPN-ul, deschizi Little Snitch și browserul este chiar acolo, cu o conexiune către un site despre care credeai că trece prin tunel. Acea intrare nu este, prin ea însăși, dovada unei scurgeri. Un monitor local raportează ce proces a deschis un socket pe această mașină, iar browserul l-a deschis; clientul VPN este un al doilea proces care preia acele pachete după aceea. Ambele afirmații sunt adevărate în același timp, iar afișajul ți-l arată pe primul.

Ce poate și ce nu poate atribui un monitor local

Atribuirea are loc la socket. Kernelul știe ce proces deține o conexiune, așa că Little Snitch poate eticheta o intrare cu numele aplicației cu încredere mare. Ce nu vede implicit este conexiunea exterioară pe care VPN-ul o construiește în jurul acelui trafic, pentru că aparține altui proces.

Numele de domeniu sunt un semnal mai slab decât par. Într-o conexiune HTTPS, numele poate veni dintr-o interogare DNS, din numele serverului oferit în timpul strângerii de mână sau dintr-o căutare inversă a adresei, după cum a observat sistemul. Nimic din toate acestea nu cere decriptarea paginii și nimic nu dovedește unde au mers octeții după aceea.

Deci intrarea browserului răspunde la cine, nu la unde. Trateaz-o ca date de atribuire și ia unde din altă vizualizare.

Pasul unu: începe cu o fereastră goală în loc să derulezi istoricul

Intrările vechi nu-ți pot spune ce face configurația actuală. Schimbă filtrul de timp în De acum, sau apasă Command-K, ca fereastra să arate doar conexiunile care apar după acel moment.

Apoi fă exact un singur lucru inofensiv în aplicația pe care o investighezi, cum ar fi să încarci o pagină pe care ai voie să o încarci. O acțiune, un moment, ca intrările care apar să poată fi legate de ea fără ghicit. Așteaptă o secundă sau două după ce se termină, pentru că încărcarea unei pagini produce o rafală de conexiuni, nu una singură. Să citești lista în timp ce încă se umple garantează că vei judeca greșit ordinea.

Înainte să citești rezultatul, verifică dacă un câmp de căutare sau un filtru de stare restrânge lista. Un filtru rămas dintr-o sesiune anterioară este cel mai frecvent motiv pentru care o conexiune pare lipsă când este doar ascunsă, și tot el explică de ce doi oameni care se uită la aceeași mașină nu sunt de acord asupra a ceea ce se întâmplă.

Pasul doi: include conexiunile extensiilor pentru a vedea tunelul însuși

Clientul VPN pe o versiune actuală de macOS este de obicei o extensie de rețea, nu o aplicație obișnuită. Activează Afișează extensiile de rețea în Monitor și conexiunile pe care le face acea extensie devin vizibile alături de tot restul.

Acum cele două straturi pot fi citite împreună. Browserul este originea cererii, iar extensia este transportul care o duce. Să le vezi pe amândouă este normal și de așteptat; să vezi doar extensia înseamnă de obicei că vizualizarea este filtrată, iar să vezi doar aplicația înseamnă că vizualizarea extensiilor este oprită.

Nicio vizualizare singură nu inventariază tot drumul. Regulile de rutare, comportamentul DNS și orice excepții pe aplicație stau în afara listei de conexiuni, așa că un răspuns complet cere verificarea lor separat.

Pasul trei: deosebește o conexiune directă reală de un efect de afișare

Dacă bănuiești că o anumită destinație iese direct, numește acea destinație și verific-o de una singură. Uită-te la configurația proprie de rutare și blocare a clientului VPN pentru acel host sau aplicație și confirmă dacă ar trebui să fie exclus.

Ce nu ar trebui să faci este să blochezi, ca reacție, fiecare intrare vizibilă a browserului. Browserul tot trebuie să-și facă conexiunile, iar blocarea lor în monitor nu le redirecționează în tunel; doar le oprește. Asta transformă o întrebare de diagnostic într-o pană. Dacă o regulă pare necesară, limiteaz-o la singura destinație pe care o poți justifica, cu o notă despre de ce există.

Aceeași prudență se aplică și coloanei de domeniu. Un nume care te surprinde poate fi un nume de host partajat, un punct de livrare a conținutului sau o interogare care a avut loc înainte ca tunelul să pornească, iar tratarea lui ca dovadă a unei scurgeri duce la reguli care strică traficul funcțional.

Pasul patru: ține vizualizarea și regula separate

Fiecare schimbare din acest exercițiu modifică ce arată monitorul. Niciuna nu modifică ce permite firewallul și niciuna nu mută trafic în sau din tunel.

Când termini, pune filtrele înapoi într-o stare pe care o poți explica, ca următoarea persoană care deschide fereastra să nu citească o vizualizare pe care ai lăsat-o în urmă. Dacă întrebarea era dacă o destinație trece prin tunel, răspunde din setările de rutare și excludere, apoi folosește monitorul ca să confirmi rezultatul în loc să-l ghicești.