Liema għodda tal-macOS tista’ ġġiegħel app waħda tgħaddi mill-VPN biss?

Linja waħda f’dokument tal-ħtiġijiet — “din l-app tista’ tuża l-VPN, u xejn aktar” — titlob bil-kwiet żewġ mekkaniżmi li ebda swiċċ wieħed ma jipprovdi. It-traffiku jeħtieġ triq mill-mina maħsuba, u t-traffiku li kieku joħroġ dirett għandu jiġi miċħud. Għodod li jagħmlu waħda minn dawn tajjeb u l-oħra xejn huma komuni, għalhekk paragun li jistaqsi biss jekk xi ħaġa tistax timblokka jwieġeb b’fiduċja nofs il-mistoqsija. L-ewwel ikteb il-konfini, imbagħad agħżel il-komponenti li jkopru ż-żewġ nofsijiet tiegħu.

Żewġ ħtiġijiet moħbija f’sentenza waħda

It-tmexxija hija l-parti li tqiegħed konnessjoni fil-mina jew fil-proksija. Ir-rifjut hija l-parti li żżomm lill-istess konnessjoni milli toħroġ b’xi rotta oħra. Komponenti differenti jimplimentawhom, jonqsu b’modi differenti, u prodott jista’ jkun eċċellenti f’wieħed bla ma jgħid xejn dwar l-ieħor:

Aqra t-tabella bħala lista ta’ kontroll u mhux bħala klassifika. Ebda ringiela ma timla ż-żewġ kolonni tan-nofs, u r-ringieli li jkopruhom huma żewġ komponenti li jikkooperaw: wieħed jippossjedi t-triq, l-ieħor jippossjedi r-rifjut. Il-kolonna tal-identità hija importanti għal raġuni oħra, għax regola li ma tistax issemmi l-app ma tistax tinforza regola dwar dik l-app. Kull ma tuża, irid iwieġeb it-tlieta, inkella l-konfini fid-dokument tal-ħtiġijiet mhuwiex il-konfini fuq il-magna.

It-tmexxija waħedha tħalli ħruġ

Is-setting tal-proksija tal-app hija l-eħfef eżempju ta’ tmexxija mingħajr rifjut. Tista’ tmexxi talbiet minn app li tirrispetta l-proksija tas-sistema, u ma tkopri xejn ieħor: proċess assistenti, aġġornatur, servizz fl-isfond jew protokoll differenti jistgħu jgħaddu fit-triq tagħhom mingħajr qatt ma jaqraw dak is-setting. Għalhekk l-għażla ta’ punt finali SOCKS f’panew wieħed ma toħloqx politika ta’ projbizzjoni ta’ ħruġ dirett għall-applikazzjoni. Jekk il-ħtieġa hija dwar l-app kollha kemm hi, staqsi liema komponenti r-regola tassew tidentifika.

Profil VPN għal kull app imexxi aħjar mill-proksija, għax il-pjattaforma tiddeċiedi liema apps jidħlu fil-mina minflok kull app tiddeċiedi għaliha nfisha. Madankollu ma jirrifjutax xejn: il-profil jipprovdi triq, u t-traffiku li ma jaqbilx magħha jieħu r-rotta tas-soltu. Dak id-distakk huwa eżatt il-post fejn it-tieni komponent jieqaf jistħoqqlu postu, u għalhekk prodotti li jidhru bħal swiċċ wieħed normalment ikunu tnejn.

Ir-rifjut waħdu jkisser l-app

Id-dokumentazzjoni tal-Apple dwar il-filtri tal-kontenut tiddeskrivi verdett ippermetti-jew-imblokka fuq it-traffiku waqt li jgħaddi mill-munzell tan-netwerk. Dak il-verdett mhuwiex mina u lanqas konnessjoni tal-proksija, għax jiddeċiedi jekk xi ħaġa tistax tkompli, mhux fejn tmur. Filtru waħdu jinforza r-rifjut perfettament u jħalli l-applikazzjoni bla użu, b’reġistri nodfa u mingħajr spjegazzjoni. Verdett ta’ filtru jista’ jwaqqaf konnessjoni imma qatt ma jipprovdi l-mina, għalhekk l-għaqda tiegħu mat-tmexxija hija d-deċiżjoni tad-disinn u mhux żjieda fakultattiva.

Sett ta’ regoli PF amministrat lokalment jinsab fit-tarf l-ieħor ta’ dak l-ispettru. Hija deċiżjoni ta’ appoġġ leġittima fuq magna li jippossjedi amministratur, u mhijiex awtomatikament il-bażi ta’ prodott distribwibbli, għax min jippossjedi s-sett ta’ regoli jippossjedi wkoll l-interazzjonijiet tiegħu ma’ utenti oħra tal-firewall, it-triq tal-aġġornament tiegħu u l-irkupru tiegħu meta regola tkun ħażina. Iż-żieda ta’ PF ma’ prodott ma tneħħix dik il-mistoqsija tas-sjieda; tiddefiniha.

It-tqegħid fis-servizz jiddeċiedi jekk ir-regola tkunx għadha teżisti għada

Kif jiġi ppubblikat Network Extension fuq il-pjattaformi tal-Apple jiddependi mit-tip tal-fornitur, mill-ippakkjar u mill-verżjoni tas-sistema operattiva quddiemek. Estensjoni tal-app fuq macOS taħdem f’kuntest tal-utent u tintemm meta dak l-utent joħroġ, filwaqt li estensjoni tas-sistema għandha kuntest globali li ma jiddependix mis-sessjoni. Jekk il-protezzjoni trid tibqa’ ħajja wara ħruġ, dak id-differenza hija d-disinn kollu u mhix nota f’qiegħ il-paġna. Ikkonferma t-triq tal-pubblikazzjoni qabel ma twiegħed l-imġiba, għax l-istess kodiċi jinżel b’mod differenti skont liema tip ta’ estensjoni jintbagħat.

Id-disponibbiltà tas-sors hija kwistjoni separata mill-infurzar. Li taqra repożitorju jgħidlek kif xi ħaġa hija implimentata, mhux x’jista’ jagħmel il-binarju installat fuq din il-magna. L-iffirmar, l-installazzjoni u l-awtorizzazzjoni għadhom jgħoddu, u istruzzjonijiet mibnija madwar estensjoni tal-kernel skaduta jew trick ta’ injezzjoni tal-librerija jiddeskrivu pjattaforma oħra u qagħda oħra ta’ riskju, kemm il darba ħadmu tajjeb.

Każ ta’ aċċettazzjoni li jsemmi l-app

Agħżel azzjoni waħda li l-applikazzjoni tagħmel waħedha, innota l-indirizz li għandha tilħaq u jekk dan l-indirizz huwiex IPv4 jew IPv6, imbagħad erġa’ għamel l-istess azzjoni fl-istat approvat mingħajr mina. It-tieni esekuzzjoni trid tipproduċi r-rifjut iddikjarat u mhux attentat dirett sieket mill-ġdid. Dak huwa n-nofs li n-nies iħallu mhux speċifikat, u l-uniku nofs li jipprova li r-rifjut jeżisti. Mexxiha l-ewwel bil-mina disponibbli, sabiex differenza bejn iż-żewġ riżultati tista’ tiġi biss mill-mina nieqsa.

Imbagħad għaddi mit-tranżizzjonijiet li jsemmi l-ħtieġa: t-tnedija mill-ġdid tal-app, proċess assistenti li jaqbad, il-mina li terġa’ tqabbad, il-magna li tbiddel in-netwerks, u ħruġ jew reboot fejn japplikaw. Paġna tal-IP pubbliku f’navigatur mhijiex test tas-sokits ta’ applikazzjoni oħra, għalhekk ma tistax tieħu post din. Fejn ebda tqegħid fis-servizz appoġġjat ma jkopri l-imġiba reali tal-app, ambjent iżolat awtorizzat b’gateway espliċitu u mingħajr ħruġ alternattiv hija deċiżjoni ta’ konteniment bi spejjeż tal-ġestjoni tagħha stess, mhux sostitut ta’ kaxxa tal-immekkjar.

Iffinalizza billi tikteb erba’ entrati: liema komponenti jiffurmaw l-app, min jippossjedi t-tmexxija, min jippossjedi r-rifjut, u l-istati li fihom ir-regola trid għadha tgħodd. Repożitorju pubbliku jista’ jkun kriterju wieħed tal-għażla, imma mhuwiex wieħed mill-erbgħa, u dawk l-entrati huma li jiddeċiedu jekk għodda partikolari tissodisfax il-ħtieġa tan-netwerks.