Prečo Little Snitch stále vypisuje prehliadač pod VPN?

Zapnete VPN, otvoríte Little Snitch a prehliadač je hneď tam, so spojením na stránku, o ktorej ste si mysleli, že ide tunelom. Ten záznam sám osebe nie je dôkazom úniku. Miestny monitor hlási, ktorý proces na tomto počítači otvoril socket, a prehliadač ho naozaj otvoril; klient VPN je druhý proces, ktorý tie pakety preberá až potom. Obe tvrdenia platia súčasne a displej vám ukazuje to prvé.

Čo miestny monitor môže a čo nemôže priradiť

Priradenie prebieha na sockete. Jadro vie, ktorý proces vlastní spojenie, takže Little Snitch môže záznam s vysokou istotou označiť názvom aplikácie. To, čo v predvolenom nastavení nevidí, je vonkajšie spojenie, ktoré VPN okolo tejto prevádzky stavia, pretože patrí inému procesu.

Doménové mená sú slabší signál, než sa zdá. Pri spojení HTTPS môže meno pochádzať z dotazu DNS, z názvu servera ponúknutého počas handshake alebo z reverzného vyhľadania adresy, podľa toho, čo systém pozoroval. Nič z toho nevyžaduje dešifrovanie stránky a nič z toho nedokazuje, kam bajty potom išli.

Záznam prehliadača teda odpovedá na otázku kto, nie kam. Berte ho ako údaje o priradení a kam hľadajte v inom zobrazení.

Krok prvý: začnite prázdnym oknom namiesto prechádzania histórie

Staré záznamy vám nepovedia, čo robí súčasná konfigurácia. Prepnite časový filter na Od teraz alebo stlačte Command-K, aby okno ukazovalo len spojenia, ktoré sa objavia po tomto okamihu.

Potom v aplikácii, ktorú skúmate, urobte presne jednu neškodnú vec, napríklad načítajte stránku, ktorú načítať smiete. Jedna akcia, jeden okamih, aby sa objavujúce záznamy dali bez hádania spojiť s ňou. Po dokončení počkajte sekundu alebo dve, pretože načítanie stránky vytvára nápor spojení, nie jediné. Čítanie zoznamu, kým sa ešte plní, zaručene vedie k chybnému úsudku o poradí.

Pred prečítaním výsledku skontrolujte, či zoznam nezužuje vyhľadávacie pole alebo filter stavu. Filter zostal z predchádzajúcej relácie je najčastejším dôvodom, prečo sa spojenie zdá chýbajúce, keď je len skryté, a tiež dôvodom, prečo sa dvaja ľudia pozerajúci sa na ten istý počítač nezhodnú na tom, čo sa deje.

Krok druhý: zapnite spojenia rozšírení, aby ste videli samotný tunel

Klient VPN v súčasnej verzii macOS býva sieťové rozšírenie, nie bežná aplikácia. Zapnite v Monitore Zobraziť sieťové rozšírenia a spojenia, ktoré toto rozšírenie vytvára, sa zviditeľnia vedľa všetkého ostatného.

Teraz možno obe vrstvy čítať spolu. Prehliadač je zdrojom požiadavky a rozšírenie je prenos, ktorý ju nesie. Vidieť oboje je normálne a očakávané; vidieť len rozšírenie zvyčajne znamená, že zobrazenie je filtrované, a vidieť len aplikáciu, že zobrazenie rozšírení je vypnuté.

Žiadne zobrazenie samo o sebe nezmapuje celú cestu. Pravidlá smerovania, správanie DNS a akékoľvek výnimky pre jednotlivé aplikácie žijú mimo zoznamu spojení, takže úplná odpoveď vyžaduje overiť ich zvlášť.

Krok tretí: rozlíšte skutočné priame spojenie od efektu zobrazenia

Ak máte podozrenie, že určitý cieľ odchádza priamo, pomenujte ten cieľ a overte ho samostatne. Pozrite sa na vlastnú konfiguráciu smerovania a blokovania klienta VPN pre daného hostiteľa alebo aplikáciu a potvrďte, či má byť vylúčený.

Čo by ste nemali robiť, je v reakcii zablokovať každý viditeľný záznam prehliadača. Prehliadač musí svoje spojenia aj tak vytvárať a ich blokovanie v monitore ich nepresmeruje do tunela; len ich zastaví. Tým sa diagnostická otázka mení na výpadok. Ak sa pravidlo zdá nutné, obmedzte ho na jediný cieľ, ktorý viete odôvodniť, s poznámkou, prečo existuje.

Rovnaká opatrnosť platí pre stĺpec s doménou. Meno, ktoré vás prekvapí, môže byť zdieľané meno hostiteľa, koncový bod na doručovanie obsahu alebo dotaz, ktorý sa uskutočnil pred spustením tunela, a jeho výklad ako dôkazu úniku vedie k pravidlám, ktoré rozbíjajú fungujúcu prevádzku.

Krok štvrtý: držte zobrazenie a pravidlo oddelene

Každá zmena v tomto cvičení mení to, čo monitor zobrazuje. Žiadna nemení to, čo povoľuje firewall, a žiadna nepresúva prevádzku do tunela ani z neho.

Keď skončíte, vráťte filtre do stavu, ktorý viete vysvetliť, aby ďalší človek, ktorý otvorí okno, nečítal zobrazenie, ktoré ste zanechali. Ak otázkou bolo, či cieľ ide tunelom, odpovedzte ju z nastavení smerovania a výnimiek a potom pomocou monitora výsledok potvrďte, namiesto aby ste o ňom hádali.