Prečo rozdelené tunelovanie nepokrýva aktualizácie vašej aplikácie

Pridáte aplikáciu do zoznamu výnimiek rozdeleného tunelovania, aplikácia sa dostane na internet priamo, a aktualizácie napriek tomu zlyhávajú alebo sa stále plazia tunelom. Výnimka fungovala. Len pokryla iný proces než ten, ktorý vykonáva sťahovanie, pretože moderný aktualizátor je len zriedka ten istý spustiteľný súbor ako okno aplikácie.

Mýtus: vylúčenie aplikácie vylučuje jej prevádzku

Rozdelené tunelovanie podľa aplikácií páruje proces, balík alebo cestu aplikácie v závislosti od platformy. Nepáruje značku, funkciu ani zámer používateľa. Keď aplikácia odovzdá sťahovanie pomocníkovi, zdieľanej službe platformy alebo komponentu prehliadača, ten pomocník má vlastnú identitu a vlastnú cestu tunelom. Zoznam výnimiek netuší, že oba procesy patria k rovnakému produktu. Vie len, ktorý z nich ste pomenovali.

Pravidlo teda robí presne to, čo mu bolo povedané. Predpoklad o tom, kto vlastní prenos, bol nesprávny, a oprava začína identifikáciou tohto vlastníka, nie pridávaním ďalších výnimiek.

Nájdite vlastníka prenosu

V Androidi môže aktualizáciu stiahnuť zdieľaný balík služby namiesto balíka aplikácie, ktorý ste vylúčili, a pravidlo VPN pre jednotlivé aplikácie platí pre balík, ktorý otvára socket. Vo Windows môže služba aktualizácie bežať pod inou spustiteľnou cestou než aplikácia, takže pravidlo zodpovedajúce ceste aplikácie ju minie. V macOS môže prenos vykonať privilegovaný pomocník alebo systémový démon aktualizácií, zatiaľ čo aplikácia ho len žiada.

Určite vlastníka podľa dôkazov: pohľad na sieťovú aktivitu platformy, zachytenie paketov filtrované podľa procesu alebo dokumentácia dodávateľa, ktorá pomenúva komponent aktualizácie. Hádanie podľa názvu procesu je spôsob, akým sa dva podobné binárne súbory zamieňajú a vylúči sa ten nesprávny.

Aktualizačné systémy tiež často delia prácu. Malá požiadavka na metadáta overuje verziu a oveľa väčšie stiahnutie balíka ide na hostiteľa doručovania obsahu alebo na inú doménu. Kontrola metadát môže tunelom prejsť, zatiaľ čo prenos balíka uviazne na hostiteľovi, ktorý tunel smeruje inak. Toto rozdelenie vysvetľuje mätúcu správu, kde sa aktualizácie zistia, ale nikdy sa nenainštalujú. Testujte samotné stiahnutie balíka, z toho istého zariadenia a tej istej siete, namiesto testovania, či sa aplikácia otvorí.

Overovanie prežije zmenu trasy

Zmena trasy nenahrádza TLS, identitu vydavateľa ani overenie podpisu balíka. Nevypínajte tieto kontroly preto, že sťahovanie uspeje až po tom, čo prejdete nevysvetlené varovanie o certifikáte. Varovanie, ktoré sa zobrazí len na vylúčenej trase, je zistenie, nie prekážka. Preskúmajte ho pred rozšírením obchádzky.

Na spravovanom zariadení požiadajte o podporovanú výnimku namiesto pridania širokého pravidla pre každú systémovú službu. Pravidlo, ktoré vylúči všetky zdieľané služby, aby opravilo jeden aktualizátor, rozširuje obchádzku ďaleko za pôvodnú požiadavku.

Otestujte aktualizáciu a potom zdokumentujte vlastníka

Po zmene sa znova pripojte a znova overte použité pravidlo, pretože niektorí klienti pri opätovnom pripojení tunela prestavajú smerovanie. Vykonajte jeden celý cyklus aktualizácie: kontrola, stiahnutie, overenie a inštalácia. Úspešná kontrola dokazuje len najmenšiu časť cesty.

Zaznamenajte vlastníka prenosu, cieľových hostiteľov a zamýšľanú trasu na to isté miesto ako pravidlo rozdeleného tunelovania. Inak ďalšia zmena mechanizmu aktualizácií výnimku potichu zneplatní a ten, kto ju zdedí, nebude mať ako zistiť, pre ktorý proces bolo pravidlo napísané.