Tunel i ndarë: pse një lidhje hapet jashtë VPN-së që konfiguruat
Rrugëtimi ndjek procesin që hap socket-in, jo aplikacionin që ju tregoi lidhjen. Provoni cili program lidhet përpara se të zgjeroni përjashtimet.
Kalimi i një aplikacioni përmes një tuneli nuk e bart rrugëtimin e tij te gjithçka që ai aplikacion nis, edhe pse ndërfaqja sugjeron të kundërtën. Një lidhje ia dorëzon një kërcësi një programi tjetër, ai program hap socket-in e vet, dhe platforma i zbaton rregullat procesit të ri, jo atij që shfaqi tekstin. Pikërisht atë proces të dytë sheh politika e tunelit, dhe ai nuk është procesi që konfiguruat.
Prandaj një aplikacion i përfshirë mund të hapë një shfletues që qëndron jashtë tunelit. Një shfletues i përjashtuar mund t'ia kthejë punën një aplikacioni që qëndron brenda tij. Të dy drejtimet e këtij surprizë janë sjellje e zakonshme.
Pjesa e rrjedhës së punës që askush nuk e konfiguroi
Politika për aplikacion shkruhet kundrejt identitetit të një skedari ekzekutues ose pakete, dhe çdo lidhje vlerësohet në momentin kur krijohet. Shfletuesi, shikuesi i dokumenteve, luajtësi i medias dhe fleta e ndarjes së sistemit mbajnë secili identitetin e vet, dhe secili merr verdiktin e vet. Një lidhje e thellë mbart të dhëna, jo politikë.
Kjo është arsyeja pse vëzhgimi duket arbitrar: i njëjti klikim rrugëtohet në dy mënyra sipas asaj se cili përpunues përgjigjet. Një klient poste brenda tunelit hap një lidhje në një shfletues që jeton jashtë tunelit, dhe faqja ngarkohet nga adresa e shtëpisë tuaj. Një shfletues jashtë tunelit hap një dokument në një shikues që jeton brenda tij, dhe skedari vjen përmes daljes. Asnjëra nga dy rezultatet nuk është defekt në klient.
Një përpunues që tashmë është duke punuar e përkeqëson situatën. Nëse shfletuesi është tashmë i hapur, lidhja bëhet një mesazh për një proces ekzistues, dhe ai proces mban rrugëtimin që kishte kur nisi. Mbyllja dhe rihapja e përpunuesit e ndryshon rezultatin, dhe prandaj problemi nuk riprodhohet kurrë sipas kërkesës.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Cili proces e krijoi në të vërtetë lidhjen
Matni anën që merr në vend që të arsyetoni për të. Mbani tunelin aktiv, klikoni një lidhje të padëmshme dhe shikoni socket-et që mban programi i ri.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
Komanda e parë emërton procesin pas çdo socket-i të vendosur në Linux, dhe e dyta bën të njëjtën në Windows duke zgjidhur identifikuesin e procesit pronar. Krahasoni emrin e procesit me emrat në politikën tuaj. Nëse emri është shfletuesi dhe shfletuesi është i përjashtuar, klikimi e la tunelin sipas projektimit dhe jo për shkak të një defekti. Përputhja e një rregulli politike me një socket të gjallë është e gjithë metoda.
Përsëriteni kontrollin me përpunuesin tashmë duke punuar, dhe më pas me atë të mbyllur. Dy rezultatet mund të ndryshojnë, dhe ai ndryshim shpjegon shumicën e raporteve të herëpashershme për lidhje që ikin nga një tunel.
Mbulimi është veti e rrjedhës së punës
Nëse një detyrë duhet të qëndrojë brenda tunelit nga fillimi në fund, çdo komponent që ajo mund të arrijë duhet të jetë brenda politikës: nisësi, përpunuesi, shikuesi dhe çdo ndërmjetës që platforma fut mes tyre. Mbulim më i gjerë është shpesh përgjigjja e sinqertë, dhe kushton më pak sesa auditimi i çdo objektivi ndarjeje.
Përjashtimi i një ndërmjetësi të sistemit për të rregulluar një aplikacion është gabim i zakonshëm. Ndërmjetësit janë të përbashkët, kështu që përjashtimi ndjek çdo aplikacion tjetër që përdor të njëjtën rrugë, zakonisht pa e vënë re askush derisa të vijë një raport javë më vonë. Lexoni çfarë tjetër varet nga komponenti përpara se ta përjashtoni.
Mbajeni identitetin të ndarë nga rrugëtimi. Një lidhje mund të mbajë një shenjë sesioni ose një identifikues llogarie, pavarësisht se cila dalje e merr kërkesën. Një klikim i rrugëtuar saktë mund t'i thotë gjithsesi destinacionit saktësisht kush e ndoqi.
Dokumentoni rrjedhën e punës, jo kutinë e parë të zgjedhjes. Kur një detyrë shtrihet në katër programe, diagrami me katër programe është ai që parashikon ku shkon trafiku, dhe cilësimi për një aplikacion është vetëm një rresht i tij.