Hating tunnel: bakit bumubukas ang link sa labas ng VPN na itinakda mo
Sinusundan ng routing ang prosesong nagbubukas ng socket, hindi ang app na nagpakita sa iyo ng link. Patunayan kung aling programa ang kumokonekta bago mo palawakin ang mga pagbubukod.
Ang pagdaan ng app sa tunnel ay hindi nagdadala ng routing nito sa lahat ng inilunsad ng app na iyon, kahit na ang interface ay nagpapahiwatig ng kabaligtaran. Ang link ay naghahatid ng kahilingan sa ibang programa, binubuksan ng programang iyon ang sarili nitong socket, at ipinapataw ng platform ang mga patakaran sa bagong proseso, hindi sa prosesong nagpakita ng teksto. Iyon ang ikalawang prosesong aktwal na nakikita ng patakaran ng tunnel, at hindi ito ang itinakda mo.
Kaya ang isang kasamang app ay makakapagbukas ng browser na nasa labas ng tunnel. Ang isang ibinukod na browser ay makakapagbalik ng trabaho sa app na nasa loob nito. Ang dalawang direksyon ng sorpresang iyon ay karaniwang pag-uugali.
Ang bahagi ng workflow na walang nag-configure
Ang patakaran kada app ay isinusulat laban sa pagkakakilanlan ng isang executable o pakete, at bawat koneksyon ay sinusuri sa sandaling malikha ito. Ang browser, ang viewer ng dokumento, ang media player at ang share sheet ng system ay may kanya-kanyang pagkakakilanlan, at bawat isa ay may kanya-kanyang hatol. Ang malalim na link ay nagdadala ng data, hindi patakaran.
Kaya ang obserbasyon ay tila arbitraryo: ang parehong click ay niruruta sa dalawang paraan depende sa kung aling handler ang sasagot. Ang mail client sa loob ng tunnel ay nagbubukas ng link sa browser na nabubuhay sa labas ng tunnel, at ang pahina ay naglo-load mula sa iyong tirahan. Ang browser sa labas ng tunnel ay nagbubukas ng dokumento sa viewer na nabubuhay sa loob nito, at ang file ay dumarating sa labasan. Wala sa dalawang resulta ang depekto sa client.
Ang handler na tumatakbo na ay nagpapalala nito. Kung bukas na ang browser, ang link ay nagiging mensahe sa umiiral na proseso, at pinapanatili ng prosesong iyon ang routing na mayroon ito noong nagsimula. Ang pagsara at muling pagbukas ng handler ay nagbabago ng resulta, at iyon ang dahilan kung bakit hindi kailanman nauulit ang problema kapag hiniling.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Aling proseso ang aktwal na gumawa ng koneksyon
Sukatin ang tumatanggap na panig sa halip na mangatuwiran tungkol dito. Panatilihing bukas ang tunnel, i-click ang isang inosenteng link, at tingnan ang mga socket na hawak ng bagong programa.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
Pinangalanan ng unang utos ang proseso sa likod ng bawat naitatag na socket sa Linux, at ginagawa ng pangalawa ang pareho sa Windows sa pamamagitan ng paglutas ng identifier ng prosesong nagmamay-ari. Ihambing ang pangalan ng proseso sa mga pangalan sa iyong patakaran. Kung ang pangalan ay ang browser at ang browser ay ibinukod, umalis ang click sa tunnel ayon sa disenyo at hindi dahil sa depekto. Ang pagtutugma ng panuntunan ng patakaran sa isang buhay na socket ay ang buong pamamaraan.
Ulitin ang pagsusuri habang tumatakbo na ang handler, pagkatapos ay nakasara ito. Maaaring magkaiba ang dalawang resulta, at ipinapaliwanag ng pagkakaibang iyon ang karamihan ng paminsan-minsang ulat tungkol sa mga link na tumatakas mula sa tunnel.
Ang saklaw ay katangian ng workflow
Kung ang isang gawain ay dapat manatili sa loob ng tunnel mula simula hanggang katapusan, ang bawat bahaging maaabot nito ay dapat nasa loob ng patakaran: ang launcher, ang handler, ang viewer at anumang tagapamagitan na inilalagay ng platform sa pagitan nila. Ang mas malawak na saklaw ay madalas ang tapat na sagot, at mas mura kaysa sa pag-audit ng bawat target ng pagbabahagi.
Ang pagbubukod ng tagapamagitan ng system para ayusin ang isang app ay karaniwang pagkakamali. Ang mga tagapamagitan ay pinagsasaluhan, kaya sinusundan ng pagbubukod ang bawat ibang app na gumagamit ng parehong landas, karaniwang walang nakakapansin hanggang may ulat na dumating pagkalipas ng mga linggo. Basahin kung ano pa ang nakadepende sa bahagi bago ito ibukod.
Panatilihing hiwalay ang pagkakakilanlan sa routing. Ang link ay maaaring magdala ng session token o identifier ng account kahit aling labasan ang tumanggap ng kahilingan. Ang wastong nirurutang click ay maaari pa ring sabihin sa destinasyon nang eksakto kung sino ang sumunod dito.
Idokumento ang workflow, hindi ang unang checkbox. Kapag ang gawain ay sumasaklaw sa apat na programa, ang diagram na may apat na programa ang siyang humuhula kung saan pupunta ang trapiko, at ang setting ng isang app ay isang hilera lamang nito.