Hokker macOS-ark kin ien app twinge om allinnich fia de VPN te gean?
In allinnich-VPN-grins hat sawol in paad as in wegering nedich. Fergelykje profilen per app, proxies, filters en PF, en test dan de iene app dêr’t jo om jouwe.
Ien rigel yn in easken-dokumint, „dizze app mei de VPN brûke, en neat oars“, freget stil om twa meganismen dy’t gjin inkelde skeakel leveret. Ferkear hat in paad nedich troch de bedoelde tunnel, en ferkear dat direkt fuortgean soe, moat wegere wurde. Ark dat ien fan dy dingen goed docht en it oare hielendal net, is gewoan, dêrom jout in fergeliking dy’t allinnich freget oft eat blokkearje kin mei fertrouwen antwurd op ’e helte fan ’e fraach. Skriuw earst de grins op, en kies dan de komponinten dy’t beide helten dêrfan dekke.
Twa easken ferskûle yn ien sin
Stjoering is it diel dat in ferbining yn ’e tunnel of de proxy set. Wegering is it diel dat deselde ferbining tsjinhâldt om fia in oare rûte fuort te gean. Ferskate komponinten ymplemintearje se, se mislearje op ferskate manieren, en in produkt kin poerbêst wêze yn it iene en neat sizze oer it oare:
| Approach | Steers traffic | Refuses direct egress | Knows the app identity |
|---|---|---|---|
| Per-app VPN profile | Yes, for the apps it names | Only if a filter or firewall also blocks | Yes, within its own rules |
| Application proxy setting | Partly, for requests that honour it | No | No |
| Content filter | No | Yes | Yes, if the filter is written that way |
| Local PF ruleset | No | Yes, by address and port | Not reliably |
Lês de tabel as in kontrôlelist en net as in ranglist. Gjin inkelde rige follet beide middelste kolommen, en de rigen dy’t se dekke binne twa komponinten dy’t gearwurkje: ien hat it paad, de oare hat de wegering. De identiteitskolom is om in oare reden wichtich, want in regel dy’t de app net neame kin, kin gjin regel oer dy app hanthavenje. Wat jo ek útriolje, it moat op alle trije antwurdzje, oars is de grins yn it easken-dokumint net de grins op ’e masine.
Stjoering allinnich lit in útwei
De ynstelling foar applikaasje-proxy is it dúdlikste foarbyld fan stjoering sûnder wegering. It kin fersiken fan in app dy’t de systeemproxy respektearret stjoere, en it dekt neat oars: in helpproses, in fernijer, in eftergrûntsjinst of in oar protokol kinne har eigen paad gean sûnder ea dy foarkar te lêzen. It kiezen fan in SOCKS-einpunt yn ien paniel makket dêrom gjin belied fan gjin direkte útgong foar de applikaasje. As de eask oer de app as gehiel giet, freegje dan hokker komponinten de regel echt identifisearret.
In VPN-profil per app stjoert better as in proxy, om’t it platfoarm beslút hokker apps de tunnel yn geane ynstee dat elke app sels beslút. Dochs wegeret it neat: it profyl leveret in paad, en ferkear dat dêr net by past nimt de gewoane rûte. Krekt dy kleau is it plak dêr’t in twadde komponint syn plak fertsjinnet, en dêrom binne produkten dy’t op ien skeakel lykje meast twa.
Wegering allinnich brekt de app
Apple syn dokumintaasje oer ynhâldfilters beskriuwt in oardiel tastean-of-blokkearje oer ferkear wylst it troch de netwurkstapel giet. Dat oardiel is gjin tunnel en gjin proxyferbining, want it beslút oft eat trochgean mei, net wêr’t it hinne giet. In filter allinnich hanthavenet de wegering perfekt en lit de applikaasje ûnbrûkber, mei skjinne logboeken en gjin útlis. In filteroardiel kin in ferbining stopje mar leveret nea de tunnel, dat it keppeljen oan stjoering is de ûntwerpbeslissing en net in ekstra opsje.
In lokaal beheard PF-regelset stiet oan ’e oare ein fan dat spektrum. It is in legitime stipebeslissing op in masine dy’t in behearder hat, en it is net automatysk de basis fan in distribuearre produkt, want wa’t it regelset hat, hat ek de ynteraksjes dêrfan mei oare brânmuorrebrûkers, it fernijingspaad en it weromsetten as in regel ferkeard is. PF tafoegje oan in produkt hellet dy eigendomsfraach net fuort; it definiearret him.
De útrioling beslút oft de regel moarn noch bestiet
Hoe’t in Network Extension op Apple-platfoarmen útriolle wurdt, hinget ôf fan it type leveransier, de ferpakking en de OS-ferzje foar jo. In app-útwreiding op macOS rint yn in brûkerskontekst en einiget as dy brûker útlogt, wylst in systeemútwreiding in globale kontekst hat dy’t net fan ’e sesje ôfhinget. As beskerming in útloggen oerlibje moat, is dat ferskil it hiele ûntwerp en net in fuotnoat. Befêstigje it útriolingspaad foar’t jo it gedrach tasizze, want deselde koade lânet oars ôfhinklik fan hokker útwreidingstype stjoerd wurdt.
Beskikberens fan boarne is in aparte kwestje fan hanthavening. In opslachlokaasje lêze fertelt jo hoe’t eat ymplemintearre is, net wat it ynstallearre binaire bestân op dizze masine dwaan mei. Undertekenjen, ynstallaasje en autorisaasje jilde noch, en ynstruksjes boud om in ferâldere kernel-útwreiding of in biblioteekynjeksje-trick hinne beskriuwe in oar platfoarm en in oare risikohâlding, hoe goed se ea ek wurken.
In akseptaasjefal dy’t de app neamt
Kies ien aksje dy’t de applikaasje sels docht, notearje it adres dat it berikke moat en oft dat adres IPv4 of IPv6 is, en werhelje dan deselde aksje yn ’e goedkarde tastân sûnder tunnel. De twadde útfiering moat de oankundige wegering leverje en net in stille direkte nije poging. Dat is de helte dy’t minsken ûnbepaald litte, en de iennichste helte dy’t bewiist dat wegering hielendal bestiet. Fier it earst út mei de tunnel beskikber, sadat in ferskil tusken de twa resultaten allinnich fan ’e ûntbrekkende tunnel komme kin.
Rin dan de oergongen troch dy’t de eask neamt: de app opnij starte, in helpproses dy’t ôfgean, de tunnel dy’t wer ferbynt, de masine dy’t fan netwurk feroaret, en in útloggen of werstart dêr’t dat jildt. In side fan in browser mei it iepenbiere IP is gjin test fan ’e sockets fan in oare applikaasje, dat it kin dizze net ferfange. Wêr’t gjin stipe útrioling it echte gedrach fan ’e app dekt, is in autorisearre isolearre omjouwing mei in eksplisite gateway en gjin alternative útgong in yndammingsbeslissing mei eigen behearkosten, net in ferfanging fan in kontrôlefakje.
Einigje troch fjouwer items op te skriuwen: hokker komponinten de app foarmje, wa’t it stjoeren hat, wa’t de wegering hat, en de tastannen wêryn’t de regel noch jilde moat. In iepenbiere opslachlokaasje kin ien seleksjekriterium wêze, mar it is ien fan ’e fjouwer net, en dy items beslisse oft in bepaald ark oan ’e netwurkeask foldocht.