Att öppna en andra webbläsare skapar inte en andra VPN-väg

Två webbläsare, två fönster, det ena på arbetskontot och det andra på ett personligt konto, och antagandet är att de nu följer olika vägar. Det gör de inte. Profilseparering håller kakor åtskilda, medan beslut om routing fattas under webbläsaren och inte vet vilken profil som frågade. En andra väg kräver en regel som väljer den, och det finns bara några få platser där en sådan regel kan bo.

Tillståndsseparering är inte vägseparering

En webbläsarprofil isolerar lagring: kakor, historik, tillägg och ibland inloggningsuppgifter. Den isoleringen upprätthålls inom ett enda processträd och har inget att säga om vilket gränssnitt som bär ett paket.

Privata fönster går längre i utseende och inte ett steg längre i routing. Allt webbläsaren skickar lämnar fortfarande den väg som operativsystemet valde, om inte något mellan socketen och nätverket ändrar den. Att blanda ihop lagringsisolering med nätverksisolering skapar förväntningar som ingen webbläsartillverkare har lovat och ingen test kan uppfylla.

Vad som faktiskt väljer en väg

Fyra saker kan välja en annan väg: en VPN-regel per app som matchar den körbara filen eller paketet, en proxy konfigurerad inuti webbläsaren eller systemet, ett nätverksnamnområde eller en container, och en andra fysisk enhet. Var och en ändrar något verkligt, och var och en har sitt pris.

En regel per app är det vanliga svaret på mobila plattformar, där VPN-tjänsten tar emot en paketlista. På en dator beror det på klienten, och en regel som matchar den körbara filen täcker varje profil som den filen öppnar. Om två profiler verkligen behöver olika vägar behöver de oftast två processer med olika identiteter i stället för två flikar. Därför kan en delad webbläsarinstallation aldrig vara gränsen i en design per profil.

Proxies på appnivå lägger till ytterligare en förmedlare

En proxyinställning i webbläsaren skapar verkligen en separat väg, och den skapar också en separat förtroenderelation med den som driver proxyn. Det är en legitim ordning för en profil, och den motsvarar inte täckning av hela enheten.

Välj proxyn medvetet: en SOCKS-lyssnare på samma värd, en autentiserad proxy inuti tunneln eller en fjärrtjänst. Att blanda en proxy med en VPN med full tunnel ger nästlade vägar där felmoderna multipliceras.

Verifiera varje webbläsares faktiska begäran

Skicka samma begäran från varje webbläsare och jämför den observerade utgående adressen, i stället för att jämföra inställningssidorna. En konfigurerad proxy som tyst misslyckas med att ansluta är ett mycket vanligt sätt att hamna tillbaka på standardvägen.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --proxy socks5h://127.0.0.1:1080 https://api.ipify.org
dig +short example.com

Upprepa sedan begäran med proxyn tvingad och med tunneln nere, för att se vilket lager som faktiskt bär trafiken. Notera också DNS-svaret, eftersom en webbläsare med egen krypterad resolver kan kringgå systemvägen helt och ändå visa sidan du förväntade dig.

Skriv ned den avsedda mappningen på två rader: vilken process som använder vilken väg, och vem som äger var och en. Håll också kontots identiteter i sikte, eftersom två vägar inte hindrar att samma inloggning presenteras för båda målen. Testa igen efter nästa webbläsaruppdatering, eftersom en proxyinställning lätt tappas bort och är svår att lägga märke till.