Bo'lingan tunnel: nima uchun havola siz sozlagan VPN tashqarisida ochiladi
Marshrutlash soketni ochadigan jarayonga ergashadi, sizga havolani ko'rsatgan ilovaga emas. Istisnolaringizni kengaytirishdan oldin qaysi dastur ulanayotganini isbotlang.
Ilovani tunnel orqali o'tkazish uning marshrutlashini shu ilova ishga tushiradigan hamma narsaga ko'chirmaydi, garchi interfeys buning aksini ko'rsatsa ham. Havola so'rovni boshqa dasturga topshiradi, o'sha dastur o'z soketini ochadi, platforma esa qoidalarni matnni ko'rsatgan jarayonga emas, yangi jarayonga qo'llaydi. Tunnel siyosati aynan o'sha ikkinchi jarayonni ko'radi va u siz sozlagan jarayon emas.
Shuning uchun kiritilgan ilova tunnel tashqarisida turgan brauzerni ochishi mumkin. Chiqarib tashlangan brauzer ishni uning ichida turgan ilovaga qaytarishi mumkin. Bu ajablanishning ikkala yo'nalishi ham odatiy xatti-harakat.
Ish oqimining hech kim sozlamagan qismi
Har bir ilova siyosati bajariladigan fayl yoki paket identifikatoriga qarshi yoziladi va har bir ulanish yaratilgan lahzada baholanadi. Brauzer, hujjat ko'ruvchi, media pleyer va tizimning ulashish varag'i har biri o'z identifikatorini olib yuradi va har biri o'z hukmini oladi. Chuqur havola ma'lumot olib yuradi, siyosat emas.
Shu sababli kuzatuv o'zboshimchalik bilan ko'rinadi: bir xil bosish qaysi ishlov beruvchi javob berishiga qarab ikki yo'l bilan marshrutlanadi. Tunnel ichidagi pochta mijozi havolani tunnel tashqarisida yashaydigan brauzerda ochadi va sahifa sizning uy manzilingizdan yuklanadi. Tunnel tashqarisidagi brauzer hujjatni uning ichida yashaydigan ko'ruvchida ochadi va fayl chiqish orqali keladi. Ikki natijadan hech biri mijozi nuqsoni emas.
Allaqachon ishlab turgan ishlov beruvchi vaziyatni yanada yomonlashtiradi. Agar brauzer allaqachon ochiq bo'lsa, havola mavjud jarayonga xabar bo'ladi va o'sha jarayon ishga tushganda qanday marshrutlash bo'lsa, shuni saqlab qoladi. Ishlov beruvchini yopib qayta ochish natijani o'zgartiradi, shuning uchun muammo so'rov bo'yicha hech qachon takrorlanmaydi.
| Platform | Policy object | What it is evaluated against |
|---|---|---|
| Android | Per-app VPN allowlist | Package name of the process opening the socket |
| Windows | Application traffic filters | Application path in the filter rule |
| Linux | UID or cgroup routing rules | Owner of the socket, which can be a different program |
Ulanishni aslida qaysi jarayon yaratdi
Mulohaza yuritish o'rniga qabul qiluvchi tomonni o'lchang. Tunnelni yoqib turing, zararsiz havolani bosing va yangi dastur ushlab turgan soketlarni ko'ring.
ss -tnp state established '( dport = :443 )' Get-NetTCPConnection -State Established | Select-Object RemoteAddress,OwningProcess
Birinchi buyruq Linuxda har bir o'rnatilgan soket orqasidagi jarayonni nomlaydi, ikkinchisi Windowsda egalik qiluvchi jarayon identifikatorini yechib, xuddi shunday qiladi. Jarayon nomini siyosatingizdagi nomlar bilan solishtiring. Agar nom brauzer bo'lsa va brauzer chiqarib tashlangan bo'lsa, bosish tunnelni nuqson tufayli emas, dizayn bo'yicha tark etgan. Siyosat qoidasini tirik soket bilan moslashtirish — butun usul.
Tekshiruvni ishlov beruvchi allaqachon ishlab turganda, keyin yopiq holatda takrorlang. Ikki natija farq qilishi mumkin va bu farq tunneldan qochib chiqadigan havolalar haqidagi ko'p vaqti-vaqti bilan keladigan hisobotlarni tushuntiradi.
Qamrov — ish oqimining xususiyati
Agar vazifa boshidan oxirigacha tunnel ichida qolishi kerak bo'lsa, u yeta oladigan har bir komponent siyosat ichida bo'lishi kerak: ishga tushiruvchi, ishlov beruvchi, ko'ruvchi va platforma ularning orasiga qo'yadigan har qanday vositachi. Kengroq qamrov ko'pincha halol javob bo'ladi va har bir ulashish nishonini audit qilishdan arzonroq.
Bitta ilovani tuzatish uchun tizim vositachisini chiqarib tashlash keng tarqalgan xato. Vositachilar umumiy, shuning uchun istisno xuddi shu yo'ldan foydalanadigan har bir boshqa ilovaga ham ergashadi, odatda haftalar o'tib hisobot kelgunga qadar hech kim sezmaydi. Komponentni chiqarib tashlashdan oldin undan yana nima bog'liqligini o'qing.
Identifikatorni marshrutlashdan alohida saqlang. Havola so'rovni qaysi chiqish qabul qilishidan qat'i nazar, sessiya tokeni yoki hisob identifikatorini olib yurishi mumkin. To'g'ri marshrutlangan bosish baribir manzilga uni kim kuzatganini aniq ayta oladi.
Ish oqimini hujjatlashtiring, birinchi katakchani emas. Vazifa to'rt dasturga cho'zilganda, to'rtta dasturli diagramma trafik qayerga ketishini bashorat qiladi, bitta ilova sozlamasi esa uning faqat bitta qatori.