Wéi eng macOS-Wierkzeug kann eng eenzeg App forcéieren nëmmen duerch de VPN ze goen?
Eng Nëmmen-VPN-Grenz brauch souwuel ee Wee wéi och eng Refus. Vergläicht Profiler pro App, Proxien, Filteren a PF, an test dunn déi eng App, déi dir wichteg ass.
Eng Linn an engem Ufuerderungsdokument — „dës App däerf de VPN benotzen, an näischt anescht“ — freet roueg no zwou Mechanismen, déi keen eenzegen Schalter bitt. Den Traffic brauch ee Wee duerch den ageplangten Tunnel, an den Traffic, dee direkt erausgehéich, muss refuséiert ginn. Wierkzeuge maachen dat eng gutt an dat anert guer net, sinn heefeg, dofir äntwert e Verglach, deen nëmmen freet ob eppes blockéiere kann, selbstbewosst op d'Halschent vun der Fro. Schréif d'Grenz fir d'éischt op, a wiels dunn déi Komponenten, déi béid Halschenten dovun decken.
Zwee Ufuerderungen, déi sech an engem Saz verstoppen
D'Steierung ass den Deel, deen eng Verbindung an den Tunnel oder de Proxy setzt. D'Refus ass den Deel, deen déiselwecht Verbindung drun hënnert, iwwer en anere Wee erauszegoen. Verschidde Komponenten setzen se ëm, se versoen op verschidde Manéieren, an e Produkt kann an deem engen exzellent sinn an iwwer deen aneren näischt soen:
| Approach | Steers traffic | Refuses direct egress | Knows the app identity |
|---|---|---|---|
| Per-app VPN profile | Yes, for the apps it names | Only if a filter or firewall also blocks | Yes, within its own rules |
| Application proxy setting | Partly, for requests that honour it | No | No |
| Content filter | No | Yes | Yes, if the filter is written that way |
| Local PF ruleset | No | Yes, by address and port | Not reliably |
Lies d'Tabell als Checklist an net als Rangfolleg. Keng Reih fëllt déi zwee mëttelst Sailen, an d'Reihen, déi se decken, sinn zwou Komponenten déi zesummeschaffen: déi eng besëtzt de Wee, déi aner d'Refus. D'Identitéitssail ass aus engem anere Grond wichteg, well eng Regel, déi d'App net nenne kann, keng Regel iwwer déi App duerchsetze kann. Wat s du och ëmsetz, et muss op all dräi äntweren, soss ass d'Grenz am Ufuerderungsdokument net d'Grenz op der Maschinn.
Steierung eleng léisst en Auswee
D'Ystellung vum Applikatiounsproxy ass dat kloerste Beispill vu Steierung ouni Refus. Si kann Ufroe vun enger App steieren, déi de Systemproxy respektéiert, an deckt näischt anescht: en Hëllefsprozess, en Updateprogramm, en Hannergrondservice oder en anere Protokoll kënnen hireen eegene Wee goen, ouni dës Astellung je ze liesen. Dofir schaaft d'Wiel vun engem SOCKS-Endpunkt an engem Panel keng Politik géint den direkten Ausgang fir d'Applikatioun. Wann d'Ufuerderung d'App als Ganzt betrëfft, freet wéi eng Komponenten d'Regel tatsächlech identifizéiert.
E VPN-Profil pro App steiert besser wéi e Proxy, well d'Plattform décidéiert, wéi eng Appen an den Tunnel kommen amplaz datt all App selwer décidéiert. Trotzdem refuséiert en näischt: de Profil liwwert e Wee, an den Traffic, deen net dozou passt, hëlt de gewéinleche Wee. Genau déi Lück ass d'Plaz, wou eng zweet Komponent hire Platz verdéngt, an dofir sinn Produkter, déi wéi ee Schalter ausgesinn, meeschtens zwee.
Refus eleng brécht d'App
Apple seng Dokumentatioun iwwer Inhaltsfilteren beschreift en Uerteel Erlaabnes-oder-Block iwwer den Traffic, während en duerch de Netzwierkstack geet. Dat Uerteel ass keen Tunnel an keng Proxyverbindung, well et décidéiert ob eppes däerf weidergoen, an net wou et higeet. E Filter eleng setzt d'Refus perfekt duerch an hannerléisst d'Applikatioun onbrauchbar, mat propperen Loggen an ouni Erklärung. En Filteruerteel kann eng Verbindung stoppen, liwwert awer ni den Tunnel, dofir ass d'Koppelen mat der Steierung d'Designentscheedung an net en optionalen Zousaz.
En lokal administréierte PF-Reegelsaz steet um aneren Enn vun deem Spektrum. Et ass eng legitim Ënnerstëtzungsentscheedung op enger Maschinn, déi en Administrateur besëtzt, an et ass net automatesch d'Basis vun engem Produkt, deen een distribuere kann, well wien de Reegelsaz besëtzt, besëtzt och seng Interaktiounen mat anere Firewallbenotzer, säin Updatewee a seng Erhuelung, wann eng Regel falsch ass. PF zu engem Produkt dobäizemaachen hëlt déi Besëtzfro net ewech; et definéiert se.
D'Bereitstellung décidéiert, ob d'Regel muer nach existéiert
Wéi eng Network Extension op Apple-Plattformen bereitgestallt gëtt, hänkt vum Anbietertyp, der Verpackung an der OS-Versioun virun dir of. Eng App-Erweiderung op macOS leeft an engem Benotzerkontext an endet, wann dee Benotzer sech ausloggt, wärend eng Systemerweiderung en globale Kontext huet, deen net vun der Sessioun ofhänkt. Wann de Schutz en Ausloggen iwwerstoe muss, ass deen Ënnerscheed dat ganzt Design an net eng Foussnout. Bestäteg de Bereitstellungswee, ier s du d'Verhalen verspréchs, well deeselwechte Code je no Erweiderungstyp anescht landt.
D'Disponibilitéit vum Quellcode ass eng aner Saach wéi d'Duerchsetzung. En Archiv ze liese seet dir wéi eppes ëmgesat ass, net wat déi installéiert Binärdatei op dëser Maschinn däerf maachen. Ënnerschrëft, Installatioun an Autorisatioun gëllen nach ëmmer, an Uleedungen, déi em eng veralt Kärerweiderung oder en Trick mat Bibliothéiks-Injektioun gebaut sinn, beschreiwen eng aner Plattform an eng aner Risikohaltung, sou gutt se och eng Kéier funktionéiert hunn.
En Akzeptanzfall, deen d'App nennt
Wiel eng eenzeg Aktioun, déi d'Applikatioun vu sech aus mécht, notéier d'Adress, déi se sollte erreechen, an ob déi Adress IPv4 oder IPv6 ass, a widderhuel duerno déiselwecht Aktioun am geneemegten Zoustand ouni Tunnel. Déi zweet Ausféierung muss déi deklaréiert Refus bréngen an net e rouege direkte Widderhuelversuch. Dat ass déi Halschent, déi d'Leit onspezifizéiert loossen, an déi eenzeg Halschent, déi beweist, datt et eng Refus iwwerhaapt gëtt. Féier se fir d'éischt mat verfügbarem Tunnel duerch, sou datt en Ënnerscheed tëscht den zwou Resultater nëmmen aus dem fehlenden Tunnel ka kommen.
Duerno gëss duerch d'Iwwergäng, déi d'Ufuerderung nennt: d'App nei starten, en Hëllefsprozess deen ausgeléist gëtt, den Tunnel deen sech erëm verbënnt, d'Maschinn déi d'Netzwierker wiesselt, an en Ausloggen oder Neistart wou dat zoutrëfft. Eng ëffentlech-IP-Säit am Browser ass keen Test vun den Sockelen vun enger anerer Applikatioun, dofir kann se dës net ersetzen. Wou keng ënnerstëtzt Bereitstellung d'tatsächlecht Verhalen vun der App deckt, ass eng autoriséiert isoléiert Ëmgebung mat engem expliziten Gateway an ouni alternativen Ausgang eng Entscheedung fir d'Andämmung mat hirem eegene Verwaltungskäschten, net en Ersatz fir eng Kontrollkëscht.
Schléiss of, andeems s du véier Punkten opschreifs: aus wéi enge Komponenten d'App besteet, wien d'Steierung besëtzt, wien d'Refus besëtzt, an d'Zoustänn an deenen d'Regel nach muss gëllen. En ëffentlecht Archiv kann ee Selektiounskriterium sinn, awer et ass net eng vun de véier, an déi Punkte sinn et, déi décidéieren ob eng bestëmmt Wierkzeug d'Netzwierkufuerderung erfëllt.