Varför visar Little Snitch fortfarande webbläsaren under en VPN?

Du slår på VPN, öppnar Little Snitch och webbläsaren är där direkt, med en anslutning till en webbplats du trodde gick genom tunneln. Den posten är inte i sig bevis på en läcka. En lokal övervakare rapporterar vilken process som öppnade en socket på den här maskinen, och webbläsaren öppnade den; VPN-klienten är en andra process som plockar upp paketen efteråt. Båda påståendena är sanna samtidigt, och displayen visar dig det första.

Vad en lokal övervakare kan och inte kan tillskriva

Tillskrivningen sker vid socketen. Kärnan vet vilken process som äger en anslutning, så Little Snitch kan märka en post med appnamnet med hög säkerhet. Det den inte ser som standard är den yttre anslutningen som VPN bygger runtom trafiken, eftersom den tillhör en annan process.

Domännamn är en svagare signal än de ser ut. I en HTTPS-anslutning kan namnet komma från en DNS-förfrågan, från servernamnet som erbjuds under handskakningen eller från en omvänd sökning av adressen, beroende på vad systemet har observerat. Inget av det kräver att sidan dekrypteras, och inget bevisar vart byten tog vägen efteråt.

Så webbläsarposten svarar på vem, inte var. Behandla den som tillskrivningsdata och hämta var från en annan vy.

Steg ett: börja med ett tomt fönster i stället för att rulla historiken

Gamla poster kan inte berätta vad den nuvarande konfigurationen gör. Byt tidsfiltret till Från nu, eller tryck Command-K, så att fönstret bara visar anslutningar som dyker upp efter den stunden.

Gör sedan exakt en ofarlig sak i appen du undersöker, till exempel ladda en sida du får ladda. En handling, ett ögonblick, så att posterna som dyker upp kan kopplas till den utan gissningar. Vänta en sekund eller två efter att den är klar, eftersom en sidladdning ger en våg av anslutningar och inte en enda. Att läsa listan medan den fortfarande fylls garanterar att du bedömer ordningen fel.

Innan du läser resultatet, kontrollera om ett sökfält eller ett statusfilter begränsar listan. Ett filter som ligger kvar från en tidigare session är den vanligaste orsaken till att en anslutning verkar saknas när den bara är dold, och det är också orsaken till att två personer som tittar på samma maskin inte är överens om vad som händer.

Steg två: ta med tilläggsanslutningar för att se själva tunneln

VPN-klienten på en aktuell macOS-version är oftast ett nätverkstillägg och inte en vanlig app. Slå på Visa nätverkstillägg i övervakaren, och anslutningarna som tillägget gör blir synliga bredvid allt annat.

Nu kan de två lagren läsas tillsammans. Webbläsaren är källan till förfrågan, och tillägget är transporten som bär den. Att se båda är normalt och väntat; att bara se tillägget betyder oftast att vyn är filtrerad, medan att bara se appen betyder att tilläggsvyn är av.

Ingen vy ensam kartlägger hela vägen. Routningsregler, DNS-beteende och eventuella undantag per app ligger utanför anslutningslistan, så ett fullständigt svar kräver att de kontrolleras separat.

Steg tre: skilj en verklig direkt anslutning från en visningseffekt

Om du misstänker att en viss destination går direkt ut, namnge den destinationen och kontrollera den för sig. Titta på VPN-klientens egen routnings- och blockeringskonfiguration för den värden eller appen, och bekräfta om den ska vara undantagen.

Det du inte bör göra är att blockera varje synlig webbläsarpost som reaktion. Webbläsaren måste ändå göra sina anslutningar, och att blockera dem i övervakaren omdirigerar dem inte in i tunneln; det stoppar dem bara. Det gör en diagnostisk fråga till ett avbrott. Om en regel verkar nödvändig, begränsa den till den enda destination du kan motivera, med en anteckning om varför den finns.

Samma försiktighet gäller för domänkolumnen. Ett namn som överraskar dig kan vara ett delat värdnamn, en slutpunkt för innehållsleverans eller en uppslagning som skedde innan tunneln kom upp, och att behandla det som bevis på en läcka leder till regler som förstör fungerande trafik.

Steg fyra: håll vyn och regeln åtskilda

Varje ändring i den här övningen ändrar vad övervakaren visar. Ingen av dem ändrar vad brandväggen tillåter, och ingen flyttar trafik in i eller ut ur tunneln.

När du är klar, ställ tillbaka filtren i ett läge du kan förklara, så att nästa person som öppnar fönstret inte läser en vy du lämnade efter dig. Om frågan var om en destination går genom tunneln, svara på den utifrån routnings- och undantagsinställningarna, och använd sedan övervakaren för att bekräfta resultatet i stället för att gissa på det.