Кайсы macOS куралы бир колдонмону VPN аркылуу гана жүрүүгө мажбурлай алат?
Тек-VPN чек арасына жол да, баш тартуу да керек. Колдонмо боюнча профилдерди, проксилерди, чыпкаларды жана PF-ти салыштырып, анан өзүңүзгө маанилүү болгон ошол бир колдонмону текшериңиз.
Талаптар документиндеги бир сап — «бул колдонмо VPN колдоно алат, башка эч нерсе» — эч бир жалгыз которгуч бербеген эки механизмди тынч талап кылат. Трафикке көздөлгөн туннелден өтүүчү жол керек, ал эми түз эле чыгып кетүүчү трафиктен баш тартуу зарыл. Ушул экөөнүн бирин жакшы жасап, экинчисин такыр жасабаган куралдар кеңири таралган, ошондуктан «бир нерсе тосо алабы?» деп гана сураган салыштыруу суроонун жарымына ишенимдүү жооп берет. Адегенде чек араны жазыңыз, анан анын эки жарымын тең камтыган компоненттерди тандаңыз.
Бир сүйлөмгө жашырылган эки талап
Багыттоо — байланышты туннелге же проксиге салуучу бөлүк. Баш тартуу — ошол эле байланыштын башка кандайдыр бир жол менен чыгышына тоскоол болуучу бөлүк. Аларды ар кандай компоненттер ишке ашырат, алар ар кандай жол менен иштен чыгат, ал эми продукт биринде мыкты болуп, экинчиси жөнүндө эч нерсе айтпашы мүмкүн:
| Approach | Steers traffic | Refuses direct egress | Knows the app identity |
|---|---|---|---|
| Per-app VPN profile | Yes, for the apps it names | Only if a filter or firewall also blocks | Yes, within its own rules |
| Application proxy setting | Partly, for requests that honour it | No | No |
| Content filter | No | Yes | Yes, if the filter is written that way |
| Local PF ruleset | No | Yes, by address and port | Not reliably |
Таблицаны рейтинг эмес, текшерүү тизмеси катары окуңуз. Эч бир сап эки ортоңку тилкени тең толтурбайт, ал эми аларды камтыган саптар — кызматташкан эки компонент: бири жолду, экинчиси баш тартууну ээлейт. Идентификация тилкеси башка себептен маанилүү, анткени колдонмону атай албаган эреже ошол колдонмо жөнүндөгү эрежени аткара албайт. Эмнени орнотсоңуз да, ал үчөөнө тең жооп бериши керек, болбосо талаптар документиндеги чек ара машинадагы чек ара эмес.
Багыттоо жалгыз өзү чыгуу жолун калтырат
Колдонмо проксисинин жөндөөсү баш тартуусуз багыттоонун эң ачык мисалы. Ал системанын проксисин сыйлаган колдонмонун суроо-талаптарын багыттай алат жана башка эч нерсени камтыбайт: жардамчы процесс, жаңыртуучу, фондук кызмат же башка протокол ошол жөндөөнү эч качан окубастан өз жолу менен жүрө алат. Ошондуктан бир панелде SOCKS акыркы чекитин тандоо колдонмо үчүн түз чыгууга тыюу салуу саясатын түзбөйт. Эгер талап бүтүндөй колдонмого тиешелүү болсо, эреже чындыгында кайсы компоненттерди тааныйт деп сураңыз.
Колдонмо боюнча VPN профили проксиден жакшыраак багыттайт, анткени кайсы колдонмолор туннелге кирерин платформа чечет ар бир колдонмо өзү чечкендин ордуна. Ошентсе да ал эч нерседен баш тартпайт: профиль жол берет, ага туура келбеген трафик кадимки маршрутту улантат. Дал ошол боштук — экинчи компонент өз ордун таба турган жер, ошондуктан бир которгучка окшош продуктулар адатта эки.
Баш тартуу жалгыз өзү колдонмону бузат
Apple документтештирүүсү контент чыпкалары жөнүндө тармактык стектен өтүп бара жаткан трафикке карата уруксат-же-бөгөт чечимин сүрөттөйт. Бул чечим туннел да, прокси байланышы да эмес, анткени ал бир нерсенин улантылышы мүмкүнбү — ошону чечет, кайда барарын эмес. Жалгыз чыпка баш тартууну кемчиликсиз аткарат жана колдонмону пайдаланууга жараксыз калтырат, таза журналдар менен жана эч кандай түшүндүрмөсүз. Чыпканын чечими байланышты токтото алат, бирок туннелди эч качан бербейт, ошондуктан аны багыттоо менен коштоо — дизайн чечими, кошумча опция эмес.
Жергиликтүү башкарылуучу PF эрежелер жыйнагы ошол спектрдин экинчи четиринде турат. Бул администраторго таандык машинадагы мыйзамдуу колдоо чечими жана таркатылуучу продуктунун негизи автоматтык түрдө эмес, анткени эрежелер жыйнагын ээлеген адам анын башка брандмауэр колдонуучулары менен өз ара аракеттерин, жаңыртуу жолун жана эреже туура эмес болгондо калыбына келтирүүнү да ээлейт. Продуктуга PF кошуу бул менчик суроосун жойбойт; аны аныктайт.
Жайгаштыруу эреженин эртең да бар болушун чечет
Network Extension Apple платформаларында кантип жайгаштырылары провайдердин түрүнө, таңгактоого жана алдыңыздагы ОС версиясына көз каранды. macOSте колдонмо кеңейтүүсү колдонуучунун контекстинде иштейт жана ал колдонуучу чыкканда бүтөт, ал эми тутумдук кеңейтүү сессияга көз каранды эмес глобалдык контекстке ээ. Эгер коргоо чыгуудан кийин да сакталышы керек болсо, бул айырма — бүт дизайн, шилтеме эмес. Жүрүм-турумга убада берүүдөн мурун жайгаштыруу жолун ырастаңыз, анткени ошол эле код кайсы кеңейтүү түрү жөнөтүлгөнүнө жараша башкача түшөт.
Булактын жеткиликтүүлүгү — аткаруудан өзүнчө маселе. Репозиторийди окуу бир нерсенин кантип ишке ашырылганын айтат, бирок орнотулган бинардык файлдын бул машинада эмне кыла аларын эмес. Кол коюу, орнотуу жана авторизация дагы деле колдонулат, ал эми эскирген өзөк кеңейтүүсү же китепкана инъекциясынын амалынын айланасында курулган нускамалар башка платформаны жана башка тобокелдик позициясын сүрөттөйт, бир кезде канчалык жакшы иштесе да.
Колдонмонун атын атаган кабыл алуу учуру
Колдонмо өзү аткарган бир аракетти тандаңыз, ал жетүүгө тийиш болгон даректи жана бул дарек IPv4 же IPv6 экенин жазып алыңыз, анан ошол эле аракетти бекитилген туннелсиз абалда кайталаңыз. Экинчи аткаруу жарыяланган баш тартууну чыгарышы керек, тынч түз кайталанууну эмес. Бул адамдар тактабай калтырган жарым, жана баш тартуунун бар экенин далилдеген жалгыз жарым. Аны адегенде туннел жеткиликтүү кезде аткарыңыз, ошондо эки жыйынтыктын айырмасы тек жок туннелден келе алат.
Анан талапта аталган өтүүлөрдү басып өтүңүз: колдонмону кайра иштетүү, жардамчы процесстин иштетилиши, туннелдин кайра туташы, машинанын тармагын алмаштыруу жана колдонулуучу жерлерде чыгуу же кайра жүктөө. Браузердин коомдук IP баракчасы башка колдонмонун сокеттерин сыноо эмес, ошондуктан анын ордун баса албайт. Колдоого алынган эч бир жайгаштыруу колдонмонун реалдуу жүрүм-турумун камтыбаса, ачык шлюз жана альтернативалуу чыгуусу жок уруксат берилген обочолонгон чөйрө — өз башкаруу наркы бар кармоо чечими, белги кутучасынын орду эмес.
Төрт жазууну жазып бүтүрүңүз: колдонмо кайсы компоненттерден турат, багыттоо кимге таандык, баш тартуу кимге таандык жана эреже дагы деле күчүндө болушу керек болгон абалдар. Коомдук репозиторий тандоо критерийлеринин бири боло алат, бирок ал төртөөнүн бири эмес, жана берилген куралдын тармактык талапка жооп берерин дал ошол жазуулар чечет.