Зашто Little Snitch и даље приказује прегледач под VPN-ом?

Укључите VPN, отворите Little Snitch и прегледач је одмах ту, са везом ка сајту за који сте мислили да иде кроз тунел. Тај запис сам по себи није доказ цурења. Локални монитор извештава који је процес отворио сокет на овој машини, а прегледач га је заиста отворио; VPN клијент је други процес који те пакете преузима касније. Обе тврдње су истовремено тачне, а екран вам показује прву.

Шта локални монитор може, а шта не може да припише

Приписивање се дешава на сокету. Језгро зна који процес поседује везу, па Little Snitch може запис означити именом апликације са великом сигурношћу. Оно што подразумевано не види јесте спољашња веза коју VPN гради око тог саобраћаја, јер она припада другом процесу.

Имена домена су слабији сигнал него што изгледају. Код HTTPS везе име може доћи из DNS упита, из имена сервера понуђеног током руковања или из обрнуте претраге адресе, зависно од тога шта је систем приметио. Ништа од тога не захтева дешифровање странице и ништа не доказује где су бајтови отишли после.

Дакле, запис прегледача одговара на питање ко, а не где. Третирајте га као податке о приписивању, а где потражите у другом приказу.

Први корак: почните од празног прозора уместо клизања кроз историју

Стари записи не могу вам рећи шта ради тренутна конфигурација. Пребаците временски филтер на Од сада, или притисните Command-K, да прозор приказује само везе које се појаве после тог тренутка.

Затим учините тачно једну безопасну ствар у апликацији коју истражујете, на пример учитајте страницу коју смеете да учитате. Једна радња, један тренутак, да се записи који се појаве могу без нагађања повезати с њом. Сачекајте секунду или две после завршетка, јер учитавање странице ствара рафал веза, а не једну. Читање списка док се још пуни гарантује да ћете погрешно проценити редослед.

Пре него што прочитате резултат, проверите да ли поље за претрагу или филтер стања сужава списак. Филтер који је остао од раније сесије најчешћи је разлог зашто веза изгледа да недостаје када је само скривена, и такође разлог зашто се двоје људи који гледају исти рачунар не слажу око тога шта се дешава.

Други корак: укључите везе екстензија да видите сам тунел

VPN клијент на савременој верзији macOS обично је мрежна екстензија, а не обична апликација. Укључите Прикажи мрежне екстензије у Monitor-у и везе које та екстензија ствара постају видљиве уз све остало.

Сада се оба слоја могу читати заједно. Прегледач је извор захтева, а екстензија је транспорт који га носи. Видети обоје је нормално и очекивано; видети само екстензију обично значи да је приказ филтриран, а видети само апликацију да је приказ екстензија искључен.

Ниједан приказ сам не инвентарише цео пут. Правила рутирања, понашање DNS-а и било какви изузеци по апликацији живе изван списка веза, па потпун одговор захтева да се они провере одвојено.

Трећи корак: разликујте стварну директну везу од ефекта приказа

Ако сумњате да одређено одредиште излази директно, именујте то одредиште и проверите га засебно. Погледајте сопствену конфигурацију рутирања и блокирања VPN клијента за тог домаћина или апликацију и потврдите да ли треба да буде изузето.

Оно што не бисте требали је да као одговор блокирате сваки видљиви запис прегледача. Прегледач ипак мора да оствари своје везе, а њихово блокирање у монитору их не преусмерава у тунел; само их зауставља. То дијагностичко питање претвара у прекид. Ако се правило чини нужним, ограничите га на једно одредиште које можете оправдати, уз напомену зашто постоји.

Иста пажња важи за колону домена. Име које вас изненади може бити заједничко име домаћина, крајња тачка за доставу садржаја или упит који се догодио пре него што се тунел подигао, а третирање као доказа о цурењу води ка правилима која кваре саобраћај који ради.

Четврти корак: држите приказ и правило одвојено

Свака промена у овој вежби мења шта монитор приказује. Ниједна не мења шта заштитни зид дозвољава и ниједна не премешта саобраћај у тунел или из њега.

Када завршите, вратите филтере у стање које можете да објасните, да следећа особа која отвори прозор не чита приказ који сте оставили. Ако је питање било да ли одредиште иде кроз тунел, одговорите на њега из подешавања рутирања и изузећа, а затим помоћу монитора потврдите резултат уместо да га нагађате.