macOS-ի ո՞ր գործիքը կարող է ստիպել մեկ հավելվածին անցնել միայն VPN-ով։
«Միայն VPN» սահմանը պահանջում է թե՛ ուղի, թե՛ մերժում։ Համեմատեք ըստ հավելվածի պրոֆիլները, պրոքսիները, զտիչները և PF-ը, ապա փորձարկեք այն մեկ հավելվածը, որը ձեզ համար կարևոր է։
Պահանջների փաստաթղթի մեկ տող՝ «այս հավելվածը կարող է օգտագործել VPN-ը և ուրիշ ոչինչ», հանգիստ պահանջում է երկու մեխանիզմ, որոնք ոչ մի միակ անջատիչ չի տրամադրում։ Երթևեկությանը պետք է ուղի նախատեսված թունելով, իսկ այն երթևեկությունը, որը կհեռանար ուղիղ, պետք է մերժվի։ Գործիքները, որոնք այս երկուսից մեկը լավ են անում, իսկ մյուսը՝ բոլորովին ոչ, սովորական են, դրա համար էլ համեմատությունը, որը միայն հարցնում է՝ կարո՞ղ է ինչ-որ բան արգելափակել, վստահորեն պատասխանում է հարցի կեսին։ Սկզբում գրեք սահմանը, ապա ընտրեք այն բաղադրիչները, որոնք ծածկում են դրա երկու կեսերը։
Մեկ նախադասության մեջ թաքնված երկու պահանջ
Ուղղորդումը այն մասն է, որը միացումը դնում է թունելի կամ պրոքսիի մեջ։ Մերժումը այն մասն է, որը թույլ չի տալիս նույն միացմանը դուրս գալ որևէ այլ երթուղով։ Տարբեր բաղադրիչներ են դրանք իրականացնում, նրանք տարբեր ձևերով են ձախողվում, և արտադրանքը կարող է գերազանց լինել մեկում և ոչինչ չասել մյուսի մասին:
| Approach | Steers traffic | Refuses direct egress | Knows the app identity |
|---|---|---|---|
| Per-app VPN profile | Yes, for the apps it names | Only if a filter or firewall also blocks | Yes, within its own rules |
| Application proxy setting | Partly, for requests that honour it | No | No |
| Content filter | No | Yes | Yes, if the filter is written that way |
| Local PF ruleset | No | Yes, by address and port | Not reliably |
Կարդացեք աղյուսակը որպես ստուգաթերթ, ոչ որպես դասակարգում։ Ոչ մի տող չի լրացնում երկու միջին սյունակները, իսկ այն տողերը, որոնք ծածկում են դրանք, երկու համագործակցող բաղադրիչ են՝ մեկը տիրապետում է ուղուն, մյուսը՝ մերժմանը։ Ինքնության սյունակը կարևոր է այլ պատճառով, որովհետև կանոնը, որը չի կարող անվանել հավելվածը, չի կարող կիրառել այդ հավելվածի մասին կանոն։ Ինչ էլ տեղակայեք, այն պետք է պատասխանի բոլոր երեքին, այլապես պահանջների փաստաթղթի սահմանը մեքենայի վրա եղած սահմանը չէ։
Միայն ուղղորդումը ելք է թողնում
Հավելվածի պրոքսիի կարգավորումը մերժումից զուրկ ուղղորդման ամենապարզ օրինակն է։ Այն կարող է ուղղորդել համակարգի պրոքսիին հարգող հավելվածի հարցումները և ուրիշ ոչինչ չի ծածկում՝ օժանդակ գործընթացը, թարմացնողը, ֆոնային ծառայությունը կամ այլ արձանագրություն կարող են գնալ իրենց ուղիով՝ երբեք չկարդալով այդ նախապատվությունը։ Այսպիսով՝ մեկ վահանակում SOCKS վերջնակետ ընտրելը հավելվածի համար ուղիղ ելքի արգելքի քաղաքականություն չի ստեղծում։ Եթե պահանջը վերաբերում է ամբողջ հավելվածին, հարցրեք՝ որ բաղադրիչներն է կանոնն իրականում ճանաչում։
Ըստ հավելվածի VPN պրոֆիլը ավելի լավ է ուղղորդում, քան պրոքսին, որովհետև հարթակն է որոշում, թե որ հավելվածներն են մտնում թունել փոխարենը, որ յուրաքանչյուր հավելված ինքը որոշի։ Այնուամենայնիվ այն ոչինչ չի մերժում՝ պրոֆիլը տալիս է ուղի, իսկ դրան չհամապատասխանող երթևեկությունը գնում է սովորական երթուղով։ Հենց այդ ճեղքն է այն տեղը, որտեղ երկրորդ բաղադրիչը վաստակում է իր տեղը, և դրա համար է, որ մեկ անջատիչի նման թվացող արտադրանքները սովորաբար երկուսն են։
Միայն մերժումը կոտրում է հավելվածը
Apple-ի փաստաթղթերը բովանդակության զտիչների մասին նկարագրում են թույլատրել-կամ-արգելափակել վճիռը երթևեկության վերաբերյալ, մինչ այն անցնում է ցանցային կույտով։ Այդ վճիռը ոչ թունել է, ոչ պրոքսի միացում, որովհետև այն որոշում է՝ ինչ-որ բան կարող է շարունակվել, թե ոչ, այլ ոչ թե ուր է գնում։ Միայն զտիչը կատարելապես կիրառում է մերժումը և հավելվածը թողնում անօգտագործելի՝ մաքուր մատյաններով և առանց բացատրության։ Զտիչի վճիռը կարող է կանգնեցնել միացումը, բայց երբեք չի տալիս թունելը, ուստի այն ուղղորդման հետ զուգակցելը ձևավորման որոշում է, ոչ թե լրացուցիչ տարբերակ։
Տեղական կառավարվող PF կանոնների հավաքածուն այդ սպեկտրի մյուս ծայրում է։ Դա օրինական աջակցության որոշում է այն մեքենայի վրա, որի տերն ադմինիստրատորն է, և ինքնաբերաբար տարածվող արտադրանքի հիմք չէ, որովհետև ով տիրապետում է կանոնների հավաքածուին, տիրապետում է նաև դրա փոխազդեցություններին այլ հրային պատի օգտագործողների հետ, դրա թարմացման ուղուն և դրա վերականգնմանը, երբ կանոնը սխալ է։ PF-ը արտադրանքին ավելացնելը չի վերացնում այդ սեփականության հարցը, այլ սահմանում է այն։
Տեղակայումը որոշում է, թե արդյոք կանոնը վաղը դեռ կլինի
Թե ինչպես է Network Extension-ը տեղակայվում Apple-ի հարթակներում, կախված է մատակարարի տեսակից, փաթեթավորումից և ձեր առջև եղած OS-ի տարբերակից։ macOS-ում հավելվածի ընդլայնումն աշխատում է օգտագործողի համատեքստում և ավարտվում, երբ այդ օգտագործողը դուրս է գալիս, մինչդեռ համակարգային ընդլայնումն ունի գլոբալ համատեքստ, որը կախված չէ նստաշրջանից։ Եթե պաշտպանությունը պետք է վերապրի դուրս գալը, այդ տարբերությունն ամբողջ ձևավորումն է, ոչ թե ծանոթագրություն։ Հաստատեք տեղակայման ուղին նախքան վարքագիծը խոստանալը, որովհետև նույն կոդը տարբեր կերպ է վայրէջք կատարում՝ կախված նրանից, թե որ ընդլայնման տեսակն է ուղարկվում։
Աղբյուրի հասանելիությունը առանձին հարց է կիրառումից։ Պահոց կարդալը ձեզ ասում է՝ ինչպես է ինչ-որ բան իրականացված, ոչ թե ինչ կարող է անել տեղադրված բինար ֆայլը այս մեքենայում։ Ստորագրումը, տեղադրումը և լիազորումը դեռ գործում են, և հնացած միջուկի ընդլայնման կամ գրադարանի ներարկման հնարքի շուրջ կառուցված հրահանգները նկարագրում են այլ հարթակ և այլ ռիսկային դիրքորոշում, որքան էլ լավ աշխատած լինեն ժամանակին։
Ընդունման դեպք, որը անվանում է հավելվածը
Ընտրեք մեկ գործողություն, որը հավելվածն ինքն է կատարում, նշեք այն հասցեն, որին պետք է հասնի, և այդ հասցեն IPv4 է, թե IPv6, ապա կրկնեք նույն գործողությունը հաստատված թունել-չունեցող վիճակում։ Երկրորդ կատարումը պետք է տա հայտարարված մերժումը, այլ ոչ թե լուռ ուղիղ կրկնափորձ։ Դա այն կեսն է, որը մարդիկ թողնում են չճշտված, և միակ կեսը, որն ապացուցում է, որ մերժումն ընդհանրապես գոյություն ունի։ Գործարկեք այն նախ թունելի առկայությամբ, որպեսզի երկու արդյունքների տարբերությունը կարողանա գալ միայն բացակայող թունելից։
Ապա անցեք այն անցումներով, որոնք նշում է պահանջը՝ հավելվածի վերագործարկում, օժանդակ գործընթացի գործարկում, թունելի վերամիացում, մեքենայի ցանցերի փոփոխություն և դուրս գալ կամ վերագործարկում, որտեղ դրանք կիրառելի են։ Դիտարկիչի հանրային IP էջը այլ հավելվածի վարդակների փորձարկում չէ, ուստի այն չի կարող փոխարինել այս մեկին։ Երբ ոչ մի աջակցվող տեղակայում չի ծածկում հավելվածի իրական վարքը, լիազորված մեկուսացված միջավայրը՝ բացահայտ դարպասով և առանց այլընտրանքային ելքի, զսպման որոշում է՝ իր կառավարման ծախսով, ոչ թե նշման վանդակի փոխարինում։
Ավարտեք՝ գրի առնելով չորս կետ՝ ինչ բաղադրիչներից է կազմված հավելվածը, ով է տիրապետում ուղղորդմանը, ով՝ մերժմանը, և ինչ վիճակներում կանոնը դեռ պետք է գործի։ Հանրային պահոցը կարող է լինել ընտրության մեկ չափանիշ, բայց այն չորսից մեկը չէ, և հենց այդ կետերն են որոշում՝ տվյալ գործիքը բավարարում է ցանցային պահանջին, թե ոչ։