Открытие второго браузера не создаёт второй маршрут VPN

Два браузера, два окна, одно на рабочей учётной записи и одно на личной, и предполагается, что теперь они идут разными путями. Это не так. Разделение профилей держит файлы cookie отдельно, а решение о маршруте принимается ниже браузера и не знает, какой профиль спросил. Второму пути нужно правило, которое его выбирает, и мест, где такое правило может жить, совсем немного.

Разделение состояния не является разделением пути

Профиль браузера изолирует хранилище: файлы cookie, историю, расширения и иногда учётные данные. Эта изоляция действует внутри одного дерева процессов и ничего не говорит о том, какой интерфейс несёт пакет.

Приватные окна идут дальше во внешности и ни на шаг дальше в маршрутизации. Всё, что отправляет браузер, по-прежнему выходит путём, выбранным операционной системой, если только что-то между сокетом и сетью не изменит его. Смешение изоляции хранилища с изоляцией сети порождает ожидания, которых не обещал ни один производитель браузеров и которые не может удовлетворить ни один тест.

Что на самом деле выбирает маршрут

Четыре вещи могут выбрать другой путь: правило VPN для отдельного приложения, совпадающее с исполняемым файлом или пакетом, прокси, настроенный внутри браузера или системы, сетевое пространство имён или контейнер, и второе физическое устройство. Каждая из них меняет что-то реальное, и у каждой есть своя цена.

Правило для отдельного приложения — обычный ответ на мобильных платформах, где служба VPN получает список пакетов. На настольном компьютере это зависит от клиента, а правило, совпадающее с исполняемым файлом, охватывает каждый профиль, который этот файл открывает. Если двум профилям действительно нужны разные пути, им обычно нужны два процесса с разными идентичностями, а не две вкладки. Поэтому общая установка браузера никогда не может быть границей в проектировании по профилям.

Прокси на уровне приложения добавляют ещё одного посредника

Настройка прокси в браузере действительно создаёт отдельный путь, и она же создаёт отдельные доверительные отношения с тем, кто управляет прокси. Это законная схема для одного профиля, и она не равноценна покрытию всего устройства.

Выбирайте прокси осознанно: слушатель SOCKS на том же хосте, аутентифицированный прокси внутри туннеля или удалённый сервис. Смешивание прокси с VPN полного туннеля создаёт вложенные пути, в которых режимы отказа множатся.

Проверьте реальный запрос каждого браузера

Отправьте один и тот же запрос из каждого браузера и сравните наблюдаемый адрес выхода, а не страницы настроек. Настроенный прокси, который молча не может подключиться, — очень распространённый способ вернуться на путь по умолчанию.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --proxy socks5h://127.0.0.1:1080 https://api.ipify.org
dig +short example.com

Затем повторите запрос с принудительным прокси и с выключенным туннелем, чтобы увидеть, какой уровень действительно несёт трафик. Запишите и ответ DNS, потому что браузер с собственным шифрованным резолвером может полностью обойти системный путь и всё же показать страницу, которую вы ожидали.

Запишите предполагаемое соответствие в две строки: какой процесс использует какой путь и кому принадлежит каждый. Держите в поле зрения и идентичности учётных записей, потому что два пути не мешают предъявить один и тот же вход обеим целям. Проверьте снова после следующего обновления браузера, потому что настройку прокси легко потерять и трудно заметить.