ทำไม Little Snitch ยังคงแสดงเบราว์เซอร์อยู่ใต้ VPN?

คุณเปิด VPN เปิด Little Snitch แล้วเบราว์เซอร์ก็อยู่ตรงนั้น พร้อมการเชื่อมต่อไปยังเว็บไซต์ที่คุณคิดว่าวิ่งผ่านทันเนล รายการนั้นไม่ใช่หลักฐานของการรั่วไหลโดยตัวมันเอง ตัวตรวจสอบภายในเครื่องรายงานว่ากระบวนการใดเปิดซ็อกเก็ตบนเครื่องนี้ และเบราว์เซอร์เปิดมันจริง ไคลเอนต์ VPN เป็นกระบวนการที่สองซึ่งเก็บแพ็กเก็ตเหล่านั้นในภายหลัง ทั้งสองข้อความเป็นจริงในเวลาเดียวกัน และหน้าจอแสดงข้อแรกให้คุณเห็น

อะไรที่ตัวตรวจสอบภายในเครื่องระบุได้และระบุไม่ได้

การระบุเกิดขึ้นที่ซ็อกเก็ต เคอร์เนลรู้ว่ากระบวนการใดเป็นเจ้าของการเชื่อมต่อ ดังนั้น Little Snitch จึงติดป้ายรายการด้วยชื่อแอปได้อย่างมั่นใจสูง สิ่งที่มันไม่เห็นโดยค่าเริ่มต้นคือการเชื่อมต่อภายนอกที่ VPN สร้างขึ้นรอบการรับส่งนั้น เพราะการเชื่อมต่อนั้นเป็นของอีกกระบวนการหนึ่ง

ชื่อโดเมนเป็นสัญญาณที่อ่อนกว่าที่เห็น ในการเชื่อมต่อ HTTPS ชื่ออาจมาจากการสอบถาม DNS จากชื่อเซิร์ฟเวอร์ที่เสนอระหว่างการจับมือ หรือจากการค้นหาย้อนกลับของที่อยู่ ขึ้นกับว่าระบบสังเกตอะไร สิ่งเหล่านี้ไม่ต้องถอดรหัสหน้าเว็บ และไม่พิสูจน์ว่าไบต์ไปที่ไหนหลังจากนั้น

ดังนั้นรายการของเบราว์เซอร์ตอบคำถามว่าใคร ไม่ใช่ว่าที่ไหน มองมันเป็นข้อมูลการระบุ แล้วเอาคำตอบว่าที่ไหนจากมุมมองอื่น

ขั้นแรก: เริ่มจากหน้าต่างว่างแทนการเลื่อนดูประวัติ

รายการเก่าบอกคุณไม่ได้ว่าการตั้งค่าปัจจุบันทำอะไร เปลี่ยนตัวกรองเวลาเป็นจากตอนนี้ หรือกด Command-K เพื่อให้หน้าต่างแสดงเฉพาะการเชื่อมต่อที่ปรากฏหลังช่วงเวลานั้น

จากนั้นทำสิ่งที่ไม่เป็นอันตรายเพียงอย่างเดียวในแอปที่คุณกำลังตรวจ เช่น โหลดหน้าที่คุณได้รับอนุญาตให้โหลด หนึ่งการกระทำ หนึ่งช่วงเวลา เพื่อให้รายการที่ปรากฏผูกกับมันได้โดยไม่ต้องเดา รอหนึ่งหรือสองวินาทีหลังเสร็จ เพราะการโหลดหน้าสร้างการเชื่อมต่อเป็นระลอก ไม่ใช่ครั้งเดียว การอ่านรายการขณะยังเติมอยู่รับประกันว่าคุณจะตัดสินลำดับผิด

ก่อนอ่านผลลัพธ์ ให้ตรวจว่าช่องค้นหาหรือตัวกรองสถานะกำลังจำกัดรายการอยู่หรือไม่ ตัวกรองที่ค้างมาจากเซสชันก่อนคือสาเหตุที่พบบ่อยที่สุดที่ทำให้การเชื่อมต่อดูเหมือนหายไปทั้งที่เพียงถูกซ่อน และยังเป็นเหตุผลที่คนสองคนมองเครื่องเดียวกันแล้วไม่ตรงกันว่าเกิดอะไรขึ้น

ขั้นที่สอง: รวมการเชื่อมต่อของส่วนขยายเพื่อดูทันเนลเอง

ไคลเอนต์ VPN บน macOS รุ่นปัจจุบันมักเป็นส่วนขยายเครือข่าย ไม่ใช่แอปธรรมดา เปิดใช้แสดงส่วนขยายเครือข่ายใน Monitor แล้วการเชื่อมต่อที่ส่วนขยายนั้นทำจะมองเห็นได้พร้อมกับสิ่งอื่นทั้งหมด

ตอนนี้ทั้งสองชั้นอ่านร่วมกันได้ เบราว์เซอร์เป็นจุดกำเนิดของคำขอ และส่วนขยายเป็นตัวขนส่งที่พามันไป การเห็นทั้งสองเป็นเรื่องปกติและคาดไว้ การเห็นเพียงส่วนขยายมักหมายถึงมุมมองถูกกรอง ขณะที่การเห็นเพียงแอปหมายถึงมุมมองส่วนขยายถูกปิด

ไม่มีมุมมองใดมุมมองเดียวที่ลงรายการเส้นทางทั้งหมด กฎการกำหนดเส้นทาง พฤติกรรมของ DNS และข้อยกเว้นรายแอปอยู่ภายนอกรายการการเชื่อมต่อ ดังนั้นคำตอบที่สมบูรณ์ต้องตรวจสิ่งเหล่านั้นแยกกัน

ขั้นที่สาม: แยกการเชื่อมต่อตรงจริงออกจากผลของการแสดงผล

หากสงสัยว่าปลายทางหนึ่งออกไปตรง ๆ ให้ระบุชื่อปลายทางนั้นและตรวจมันแยกต่างหาก ดูการกำหนดเส้นทางและการบล็อกของไคลเอนต์ VPN สำหรับโฮสต์หรือแอปนั้น และยืนยันว่าควรถูกยกเว้นหรือไม่

สิ่งที่ไม่ควรทำคือบล็อกรายการเบราว์เซอร์ที่มองเห็นทั้งหมดเป็นการตอบโต้ เบราว์เซอร์ยังต้องสร้างการเชื่อมต่อของมัน และการบล็อกในตัวตรวจสอบไม่ได้เปลี่ยนเส้นทางให้เข้าทันเนล มันเพียงหยุดไว้เท่านั้น นั่นเปลี่ยนคำถามเชิงวินิจฉัยให้กลายเป็นเหตุขัดข้อง หากกฎดูจำเป็น ให้จำกัดไว้ที่ปลายทางเดียวที่คุณให้เหตุผลได้ พร้อมบันทึกว่าเหตุใดจึงมีอยู่

ความระมัดระวังเดียวกันใช้กับคอลัมน์โดเมน ชื่อที่ทำให้คุณประหลาดใจอาจเป็นชื่อโฮสต์ที่ใช้ร่วมกัน จุดส่งมอบเนื้อหา หรือการค้นหาที่เกิดขึ้นก่อนทันเนลจะขึ้น และการถือเป็นหลักฐานการรั่วไหลจะนำไปสู่กฎที่ทำลายการรับส่งที่ทำงานอยู่

ขั้นที่สี่: แยกมุมมองกับกฎออกจากกัน

ทุกการเปลี่ยนแปลงในแบบฝึกหัดนี้เปลี่ยนสิ่งที่ตัวตรวจสอบแสดง ไม่มีข้อใดเปลี่ยนสิ่งที่ไฟร์วอลล์อนุญาต และไม่มีข้อใดย้ายการรับส่งเข้าหรือออกจากทันเนล

เมื่อเสร็จแล้ว คืนตัวกรองให้อยู่ในสภาพที่คุณอธิบายได้ เพื่อให้คนถัดไปที่เปิดหน้าต่างไม่ต้องอ่านมุมมองที่คุณทิ้งไว้ หากคำถามคือปลายทางวิ่งผ่านทันเนลหรือไม่ ให้ตอบจากการตั้งค่าการกำหนดเส้นทางและการยกเว้น แล้วใช้ตัวตรวจสอบยืนยันผลลัพธ์แทนการเดา