Чому Little Snitch досі показує браузер під VPN?

Ви вмикаєте VPN, відкриваєте Little Snitch, і браузер тут же на місці — зі з'єднанням до сайту, який, на вашу думку, йшов через тунель. Цей запис сам по собі не доказ витоку. Локальний монітор повідомляє, який процес відкрив сокет на цій машині, і браузер справді відкрив його; клієнт VPN — це другий процес, який забирає ці пакети пізніше. Обидва твердження правильні одночасно, і дисплей показує вам перше.

Що локальний монітор може і чого не може зіставити

Зіставлення відбувається на сокеті. Ядро знає, якому процесу належить з'єднання, тож Little Snitch може з високою впевненістю позначити запис іменем застосунку. Чого він типово не бачить — це зовнішнє з'єднання, яке VPN будує навколо цього трафіку, бо воно належить іншому процесу.

Доменні імена — слабший сигнал, ніж здається. У з'єднанні HTTPS ім'я може походити із запиту DNS, з імені сервера, запропонованого під час рукостискання, або зі зворотного пошуку адреси — залежно від того, що спостерігала система. Ніщо з цього не потребує розшифрування сторінки і ніщо не доводить, куди байти пішли потім.

Отже, запис браузера відповідає на питання «хто», а не «куди». Ставтеся до нього як до даних зіставлення, а «куди» беріть з іншого виду.

Крок перший: почніть із порожнього вікна, а не з прокручування історії

Старі записи не можуть сказати, що робить поточна конфігурація. Перемкніть фільтр часу на «Відтепер» або натисніть Command-K, щоб вікно показувало лише з'єднання, які з'являються після цього моменту.

Далі зробіть рівно одну нешкідливу дію в застосунку, який досліджуєте, наприклад завантажте сторінку, яку вам дозволено завантажувати. Одна дія, один момент, щоб записи, які з'являються, можна було пов'язати з нею без здогадів. Зачекайте секунду-дві після завершення, бо завантаження сторінки дає сплеск з'єднань, а не одне. Читати список, поки він ще заповнюється, — гарантія того, що ви неправильно оціните порядок.

Перш ніж читати результат, перевірте, чи не звужують список поле пошуку або фільтр стану. Фільтр, що лишився від попереднього сеансу, — найчастіша причина того, що з'єднання виглядає відсутнім, хоча воно лише приховане, і також причина того, що двоє людей, які дивляться на ту саму машину, не погоджуються щодо того, що відбувається.

Крок другий: увімкніть з'єднання розширень, щоб побачити сам тунель

Клієнт VPN у сучасній версії macOS зазвичай є мережевим розширенням, а не звичайним застосунком. Увімкніть «Показувати мережеві розширення» в Monitor, і з'єднання цього розширення стануть видимими поряд з усім іншим.

Тепер обидва шари можна читати разом. Браузер — джерело запиту, а розширення — транспорт, який його несе. Бачити обидва — нормально й очікувано; бачити лише розширення зазвичай означає, що вид відфільтровано, а бачити лише застосунок — що вид розширень вимкнено.

Жоден вид сам по собі не описує весь шлях. Правила маршрутизації, поведінка DNS і будь-які винятки для окремих застосунків живуть поза списком з'єднань, тож повна відповідь вимагає перевірити їх окремо.

Крок третій: відрізніть реальне пряме з'єднання від ефекту відображення

Якщо ви підозрюєте, що конкретний адресат виходить напряму, назвіть цей адресат і перевірте його окремо. Подивіться на власну конфігурацію маршрутизації та блокування клієнта VPN для цього хоста або застосунку і підтвердьте, чи має він бути виключений.

Чого робити не варто — блокувати у відповідь кожен видимий запис браузера. Браузер усе одно має встановлювати свої з'єднання, і блокування їх у моніторі не перенаправляє їх у тунель; воно лише їх зупиняє. Так діагностичне питання перетворюється на збій. Якщо правило здається необхідним, обмежте його одним адресатом, який можете обґрунтувати, з приміткою, чому воно існує.

Та сама обережність стосується стовпця домену. Ім'я, яке вас дивує, може бути спільним іменем хоста, точкою доставки вмісту або запитом, що стався до підняття тунелю, і трактування його як доказу витоку веде до правил, які ламають робочий трафік.

Крок четвертий: тримайте вид і правило окремо

Будь-яка зміна в цій вправі змінює те, що показує монітор. Жодна не змінює того, що дозволяє брандмауер, і жодна не переміщує трафік у тунель або з нього.

Коли завершите, поверніть фільтри в стан, який можете пояснити, щоб наступна людина, яка відкриє вікно, не читала залишений вами вид. Якщо питання було в тому, чи йде адресат через тунель, дайте відповідь із налаштувань маршрутизації та винятків, а потім за допомогою монітора підтвердьте результат, а не здогадуйтеся про нього.