Razdeljen tunel: zakaj se povezava odpre zunaj VPN, ki ste jo nastavili

Vodenje aplikacije skozi tunel ne prenese njenega usmerjanja na vse, kar ta aplikacija zažene, čeprav vmesnik nakazuje nasprotno. Povezava preda zahtevo drugemu programu, ta program odpre svojo vtičnico, in platforma uporabi pravila za novi proces, ne za tistega, ki je prikazal besedilo. Prav ta drugi proces vidi politika tunela, in to ni tisti, ki ste ga nastavili.

Vključena aplikacija lahko zato odpre brskalnik, ki stoji zunaj tunela. Izključen brskalnik lahko vrne delo aplikaciji, ki stoji znotraj njega. Obe smeri tega presenečenja sta običajno vedenje.

Del delovnega toka, ki ga nihče ni nastavil

Politika za posamezno aplikacijo se piše glede na identiteto izvršljive datoteke ali paketa, in vsaka povezava se ovrednoti v trenutku, ko nastane. Brskalnik, pregledovalnik dokumentov, predvajalnik medijev in sistemski list za souporabo nosijo vsak svojo identiteto, in vsak dobi svojo sodbo. Globoka povezava prenaša podatke, ne politike.

Zato se opažanje zdi samovoljno: isti klik se usmeri na dva načina, odvisno od tega, kateri upravljalnik odgovori. Poštni odjemalec v tunelu odpre povezavo v brskalniku, ki živi zunaj tunela, in stran se naloži z vašega domačega naslova. Brskalnik zunaj tunela odpre dokument v pregledovalniku, ki živi znotraj njega, in datoteka prispe skozi izhod. Noben od obeh izidov ni napaka v odjemalcu.

Upravljalnik, ki že teče, stanje poslabša. Če je brskalnik že odprt, povezava postane sporočilo obstoječemu procesu, in ta proces obdrži usmerjanje, ki ga je imel ob zagonu. Zaprtje in ponovno odprtje upravljalnika spremeni izid, zato problema nikoli ni mogoče ponoviti na zahtevo.

Kateri proces je povezavo dejansko vzpostavil

Merite prejemno stran, namesto da bi o njej razmišljali. Pustite tunel vklopljen, kliknite neškodljivo povezavo in poglejte vtičnice, ki jih drži novi program.

ss -tnp state established '( dport = :443 )'
Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess

Prvi ukaz poimenuje proces za vsako vzpostavljeno vtičnico v Linuxu, drugi pa stori isto v Windowsu z razrešitvijo identifikatorja procesa, ki jo ima v lasti. Primerjajte ime procesa z imeni v svoji politiki. Če je ime brskalnik in je brskalnik izključen, je klik zapustil tunel po zasnovi in ne zaradi napake. Ujemanje pravila politike z živo vtičnico je celotna metoda.

Ponovite preverjanje z upravljalnikom, ki že teče, in nato z zaprtim. Rezultata se lahko razlikujeta, in ta razlika pojasnjuje večino občasnih poročil o povezavah, ki uhajajo iz tunela.

Pokritost je lastnost delovnega toka

Če mora opravilo ostati v tunelu od začetka do konca, mora biti vsaka komponenta, ki jo lahko doseže, znotraj politike: zaganjalnik, upravljalnik, pregledovalnik in vsak posrednik, ki ga platforma vstavi mednje. Širša pokritost je pogosto pošten odgovor in je cenejša od revizije vsakega cilja souporabe.

Izključiti sistemskega posrednika, da bi popravili eno aplikacijo, je pogosta napaka. Posredniki so deljeni, zato izključitev sledi vsaki drugi aplikaciji, ki uporablja isto pot, običajno brez da bi kdo opazil, dokler tedne pozneje ne prispe poročilo. Preberite, kaj je še odvisno od komponente, preden jo izključite.

Identiteto držite ločeno od usmerjanja. Povezava lahko nosi žeton seje ali identifikator računa ne glede na to, kateri izhod prejme zahtevo. Pravilno usmerjen klik lahko cilju še vedno natančno pove, kdo mu je sledil.

Dokumentirajte delovni tok, ne prvega potrditvenega polja. Ko opravilo zajema štiri programe, je diagram s štirimi programi tisti, ki napove, kam bo šel promet, in nastavitev ene aplikacije je le ena njegova vrstica.