Zein macOS tresnak behartu dezake aplikazio bat soilik VPN bidez joatera?
VPN soilaren muga batek bide bat eta uko bat behar ditu. Konparatu aplikazioko profilak, proxyak, iragazkiak eta PF, eta gero probatu axola zaizun aplikazio bakar hori.
Baldintza-dokumentu bateko lerro batek — «aplikazio honek VPN-a erabil dezake, eta besterik ez» — isil-isilik lortu nahi ditu inongo etengailuk ematen ez dituen bi mekanismo. Trafikoak bide bat behar du aurreikusitako tunelatik, eta zuzenean irtengo litzatekeen trafikoak ukatua izan behar du. Bi gauza horietako bat ondo egiten eta bestea batere egiten ez duten tresnak ohikoak dira, eta horregatik, zerbait blokeatzeko gai den soilik galdetzen duen konparazio batek konfiantzaz erantzuten ditu galderaren erdia. Lehenik muga idatzi, eta gero hura bi erdiak estaltzen dituzten osagaiak hauta itzazu.
Esaldi bakarrean ezkutatzen diren bi baldintza
Bideratzea konexioa tunelera edo proxyra eramaten duen zatia da. Ukoa beste edozein bidetik konexio bere hori irtetea eragozten duen zatia da. Osagai ezberdinek ezartzen dituzte, modu ezberdinetan huts egiten dute, eta produktu bat batean bikaina izan daiteke eta besteaz ezer ez esan:
| Approach | Steers traffic | Refuses direct egress | Knows the app identity |
|---|---|---|---|
| Per-app VPN profile | Yes, for the apps it names | Only if a filter or firewall also blocks | Yes, within its own rules |
| Application proxy setting | Partly, for requests that honour it | No | No |
| Content filter | No | Yes | Yes, if the filter is written that way |
| Local PF ruleset | No | Yes, by address and port | Not reliably |
Irakurri taula kontrol-zerrenda gisa, sailkapen gisa baino. Inongo errenkadak ez ditu bi erdiko zutabeak betetzen, eta horiek estaltzen dituzten errenkadak lankidetzan aritzen diren bi osagai dira: batek bidea du, besteak ukoa. Identitate-zutabeak beste arrazoi batengatik du garrantzia, aplikazioa izendatu ezin duen arauak ezin duelako aplikazio horri buruzko araurik betearazi. Zabaltzen duzuna edozein izanda ere, hirurei erantzun behar die, bestela baldintza-dokumentuko muga ez da makinako muga.
Bideratzeak bakarrik irtenbide bat uzten du
Aplikazio-proxyaren ezarpena ukoik gabeko bideratzearen adibiderik argiena da. Sistemaren proxya errespetatzen duen aplikazio baten eskaerak bidera ditzake, eta ez du besterik estaltzen: prozesu lagungarri batek, eguneratzaile batek, atzeko planoko zerbitzu batek edo beste protokolo batek bere bide propioa har dezake ezarpen hori inoiz irakurri gabe. Beraz, paneleko SOCKS amaiera-puntu bat aukeratzeak ez du aplikazioarentzat zuzeneko irteerarik ez duen politikarik sortzen. Baldintza aplikazio osoari buruzkoa bada, galdetu zein osagai identifikatzen dituen arauak benetan.
Aplikazioko VPN profil batek proxya baino hobeto bideratzen du, plataformak erabakitzen duelako zein aplikazio sartzen diren tunelera aplikazio bakoitzak berak erabaki beharrean. Hala ere, ez du ezer ukatzen: profilak bide bat ematen du, eta harekin bat egiten ez duen trafikoak ohiko bidea hartzen du. Hutsune hori da bigarren osagai batek bere lekua irabazten duen tokia, eta horregatik etengailu bakarra diruditen produktuak normalean bi izaten dira.
Ukoak bakarrik apurtzen du aplikazioa
Apple-ren dokumentazioak eduki-iragazkiei buruzkoak baimendu-edo-blokeatu epai bat deskribatzen du trafikoari buruz, sare-pila zeharkatzen duen bitartean. Epai hori ez da tunel bat ez eta proxy konexio bat, zerbait jarraitzea baimenduta dagoen ala ez erabakitzen baitu, ez nora doan. Iragazki bat berak ukoa ezin hobeto betearazten du eta aplikazioa erabilezina uzten du, erregistro garbiekin eta inolako azalpenik gabe. Iragazki-epai batek konexio bat geldi dezake baina inoiz ez du tunela ematen, beraz hura bideratzearekin lotzea diseinu-erabakia da, eta ez aparteko aukera.
Tokian administratutako PF arau-multzo bat espektru horren beste muturrean dago. Administratzaile batek duen makinan laguntza-erabaki zilegia da, eta ez da automatikoki banagarria den produktu baten oinarria, arau-multzoaren jabe denak beste suebaki-erabiltzaileekiko elkarreraginak, eguneratzeko bidea eta arau bat oker dagoenean berreskuratzea ere badituelako. PF produktu bati gehitzeak ez du jabetza-galdera hori kentzen; definitzen du.
Hedapenak erabakitzen du araua bihar ere existituko den
Network Extension bat Apple plataformetan nola hedatzen den aurrez aurre duzun hornitzaile-motaren, paketatzearen eta OS bertsioaren araberakoa da. macOS-en aplikazio-luzapen bat erabiltzaile-testuinguruan exekutatzen da eta erabiltzaile horrek saioa ixten duenean amaitzen da, sistema-luzapen batek, berriz, saioaren araberakoa ez den testuinguru globala du. Babesak saio-itxiera gainditu behar badu, aldea diseinu osoa da, ez oin-oharra. Egiaztatu hedapen-bidea portaera agindu aurretik, kode bera ezberdin lurreratzen baita bidaltzen den luzapen-motaren arabera.
Iturburuaren eskuragarritasuna betearazpenetik bereizitako kontua da. Biltegi bat irakurtzeak nola ezartzen den esaten dizu, ez instalatutako binarioak makina honetan zer egin dezakeen. Sinadurak, instalazioak eta baimenak indarrean jarraitzen dute, eta zaharkitutako kernel-luzapen edo liburutegi-injekzio trikimailu baten inguruan eraikitako argibideek beste plataforma bat eta beste arrisku-jarrera bat deskribatzen dituzte, garai batean zenbat ondo funtzionatu zuten ere.
Aplikazioa izendatzen duen onarpen-kasu bat
Hautatu aplikazioak bere kabuz egiten duen ekintza bakarra, idatzi iritsi beharko lukeen helbidea eta helbide hori IPv4 edo IPv6 den, eta gero errepikatu ekintza bera onartutako tunelik gabeko egoeran. Bigarren exekuzioak iragarritako ukoa eman behar du, ez isil-isiliko zuzeneko berriro saiakera bat. Hori da jendeak zehaztu gabe uzten duen erdia, eta ukoa ez ote dagoen frogatzen duen erdi bakarra. Exekutatu lehenik tunela eskuragarri dagoela, bi emaitzen arteko aldea falta den tunelatik bakarrik etor dadin.
Gero, baldintzak izendatzen dituen trantsizioak zeharkatu: aplikazioa berrabiaraztea, prozesu lagungarri bat abiatzea, tunela berriz konektatzea, makina sarez aldatzea, eta saioa ixtea edo berrabiaraztea dagokion lekuetan. Nabigatzailearen IP publikoaren orrialdea ez da beste aplikazio baten socketen proba, beraz ezin du hau ordezkatu. Inongo hedapen onartuk aplikazioaren benetako portaera estaltzen ez duen lekuan, baimendutako ingurune isolatu batek, sarbide-bide espresu batekin eta irteera alternatiborik gabe, edukitze-erabakia da, kudeaketa-kostu propioa duena, eta ez kontrol-lauki baten ordezkoa.
Amaitzeko, idatzi lau erregistro: zein osagaik osatzen duten aplikazioa, nork duen bideratzea, nork duen ukoa, eta arauak oraindik bete behar duen egoerak. Biltegi publiko bat hautespen-irizpide bat izan daiteke, baina ez da lauetako bat, eta erregistro horiek erabakitzen dute tresna jakin batek sare-baldintza betetzen duen.