NetGuard'ın SOCKS modu TCP'yi kapsar, her protokolü değil

NetGuard trafiği filtrelemek için Android'in VPN arayüzünü kaplar ve desteklenen bağlantıları bir SOCKS uç noktasına devredebilir. Bu iki gerçek sıklıkla «telefon bir VPN'de» diye okunur; bu, mekanizmanın desteklemediği bir çıkarımdır. Filtre paketleri görür; vekil sunucu ise yalnızca kendisine gerçekten devredilen bağlantıları görür. Bu iki ifadenin arasında kapsama sorusunun tamamı durur.

Kaynak projenin SSS bölümü hem tek hizmet sınırlamasını hem de SOCKS seçeneğini belgeler. Seçeneğin var olması, izin verilen her paketin onu kullandığının kanıtı değildir ve kapsama soruları tam da bu boşluktan doğar.

Tek bir uygulama içinde iki yönlendirme yolu

Uygulamanın TCP tarafı SOCKS bağlantı işlemesini içerir, bu nedenle izin verilen bir TCP bağlantısı vekille görüşülüp onun üzerinden taşınabilir. UDP tarafının ayrı bir soket yolu vardır ve bunun gönderme ile alma işlemesi o TCP görüşmesine bağlı değildir. Bu nedenle filtrenin izin verdiği bir veri birimi, vekilden hiç geçmeden olağan ağa ulaşabilir. Bunların hiçbiri uygulamanın kusuru değildir; iki yolun uyguladığı şey yalnızca budur.

Bu ayrımın, insanların iki yönde de yanlış anlattığı bir sonucu vardır. Her UDP paketini sızıntı diye adlandırmak engelleme kurallarını yok sayar, çünkü reddedilen bir veri birimi hiçbir zaman dışarı çıkmaz. Tüm düzenlemeyi VPN diye adlandırmak izin verilen doğrudan yolu yok sayar, çünkü bazı trafik gerçekten vekilsiz dışarı çıkar. Elinizde olan, kısmi vekilli filtrelenmiş bir cihazdır ve dürüst tanım etiket değil, bir matristir.

UDP'yi duyurmak onu uygulamak değildir

UDP desteği iddia eden bir SOCKS sunucusu, telefonunuzdaki uygulamaya buna karşılık gelen istemci tarafı işlemeyi eklemez. Protokolün kuramsal özellikleri ile kurulu derlemenin davranışı farklı konulardır ve trafiğinizi yalnızca ikincisi tanımlar.

Gerçekten çalıştırdığınız sürümü ve yapılandırmayı denetleyin, ardından zararsız bir veri birimi akışı deneyip vekilde görünüp görünmediğini gözleyin. Geri kalan her şey bir özellik listesinden çıkarılan tahmindir ve özellik listeleri kod yollarını değil, niyetleri anlatır.

DNS üçüncü bir yoldur, ayrıntı değil

Ad çözümleme matrise kendi dalını ekler. Yerel bir DNS ileticisi, sıradan bir UDP sorgusu, hedef ana bilgisayar adını vekilin kendisinin çözmesi ve tarayıcıdaki şifreli bir çözümleyici dört ayrı düzenlemedir. Sorguyu kimin gördüğü ve hangi ağ yolunun onu taşıdığı bakımından farklıdırlar ve bunları karıştırmak, diğerleri hakkında hiçbir şey kanıtlamayan bir test üretir.

Hangisini istediğinize bilinçli olarak karar verin. Gereksinim adların tünelden çözülmesi ise yalnızca bir tarayıcı ayarı bunu sağlamaz ve ana bilgisayar adlarını kendi çözen bir vekil, yanıtı yalnızca gerçekten işlediği bağlantılar için değiştirir.

Vekil taşıması otomatik olarak özel değildir

Düz SOCKS, telefondan vekile şifreli bir bağlantı değildir. Uç noktaya başka bir korumalı yoldan ulaşılıyorsa o yolu ve başarısızlık siyasetini adlandırın, çünkü açık ağa geri düşme, özel bir düzenlemeyi uyarı olmadan herkese açık hale getirir. Vekilin kendi kimlik doğrulaması da önemlidir: paylaşılan bir cihazdaki açık dinleyici, kimsenin hesabını vermediği bir hizmettir.

Profiller arası düzenlemeler de aynı incelemeyi hak eder. İş profilinin VPN'i yalnızca kendi yolunu kullanan trafiği korur ve kişisel profildeki bir güvenlik duvarının iş tüneliyle bir arada bulunması, güvenlik duvarının sonraki bağlantısının o tünele ulaştığını kanıtlamaz. İki profilin işbirliği yaptığını varsaymak yerine erişilebilirliği ve kimlik doğrulamayı doğrulayın.

Kapsamı sayfa yüklemesiyle değil, matrisle denetleyin

Yetkili bir değerlendirme için önemsediğiniz her sınıfı temsil eden zararsız örnekler seçin: gerekli TCP, izin verilen UDP ve her iki adres ailesinde DNS. Her biri için vekilden geçip geçmediğini, engellenip engellenmediğini ya da doğrudan gönderilip gönderilmediğini kaydedin. O tek tablo teslimatın kendisidir ve yüklenen bir sayfanın ekran görüntüsünden çok daha kullanışlıdır.

Gereksinim, seçilen tüm uygulama trafiğinin uzak bir tünelden geçmesi ise açıkça desteklenen birleşik filtreleme ve tünelleme içeren bir uygulama seçin. Yalnızca TCP vekilli bir bileşim, diğer trafik unutulmak yerine bilerek ele alındığı sürece daha dar işler için yararlı kalır.