app-firewall voor Mac

voor wie een app-firewall is

de gebruikelijke aanleiding: merken dat een programma meer met internet praat dan het zou moeten — een hulpprogramma dat bij elke start een licentieserver belt, een achtergrondhelper die iets synchroniseert waar niemand om vroeg, een spel dat adressen bereikt die niets met spelen te maken hebben. macOS zelf zegt niet welke programma's nu verbonden zijn, of waarheen: het netwerktabblad van Activiteitenweergave toont verplaatste bytes, geen adressen.

de andere aanleiding: de regel vooraf willen instellen — een server blokkeren voor een programma dat je niet helemaal vertrouwt, of een geïnstalleerd maar ongebruikt programma helemaal van het netwerk halen, zonder je router, dns of een vpn aan te raken die alles tegelijk zou raken.

wat het toont, en wat één klik doet

elk programma dat online is geweest, verschijnt in een lijst met de adressen die het bereikte. een klik op het label van het programma sluit het helemaal af van het netwerk; open het, en één adres kan apart geblokkeerd worden — een licentiecontrole bijvoorbeeld, terwijl de rest van zijn verkeer blijft doorgaan. een adresregel wint altijd van de regel van het programma, dus één uitzondering hoeft niet de hele schakelaar weer aan te zetten.

een regel hoeft niet dat het programma al verbonden is geweest. elke geïnstalleerde app staat in de lijst, of hij online is geweest of niet, dus een programma kan worden geblokkeerd voordat het ooit de kans krijgt.

• blokkeer een heel programma, of één adres ervan, met één klik
• stel een regel in voordat een programma ooit verbinding maakt — kies het uit de lijst of de map Programma's
• laad een lijst met adressen uit een bestand (één per regel, of een hosts-bestand) en blokkeer ze voor alle programma's tegelijk — een regel kan ook een programma noemen: `com.example.app license.example.com`
• sla je huidige regels weer op in een bestand
• sorteer de lijst op wanneer een programma verscheen, op naam, of recent eerst

de volledige rondleiding — wat elk label en elke sectie van het venster betekent — staat in de instructie, in jouw taal: verkeer blokkeren in de instructie

hoe het filter zelf werkt

hop doet dit met het netwerkfilter dat macOS precies hiervoor biedt — een systeemuitbreiding, van dezelfde categorie waarop LuLu en Little Snitch zijn gebouwd. de eerste keer dat de module draait, vraagt macOS je dit toe te staan in systeeminstellingen; dat is een eenmalig systeemdialoogvenster, dat hop niet kan overslaan of vooraf goedkeuren.

het filter beslist bij het eerste pakket van een verbinding en kijkt er nooit in: het blokkeert een hele server, nooit één pagina erop, omdat dat is hoe diep een filter dat op verbindingsniveau werkt, kan zien. stopt het filter ooit — een macOS-update, een crash, wat dan ook — dan blijft internet werken; er wordt niets geblokkeerd tot het filter terug is. de module uitzetten in instellingen stopt specifiek jouw blokkades, niet de netwerktoegang van je Mac.

Apples eigen beschrijving van het network-extension-framework waarop dit soort app is gebouwd (pagina in het Engels): Network Extension, Apple Developer documentation

standaard stil, en een optionele vraag

de module staat standaard aan en blokkeert uit zichzelf niets: zonder ingestelde regels gaat elke verbinding precies zo door als zonder hop geïnstalleerd. er zit geen kant-en-klare lijst met trackers of advertentieservers bij om vooraf te blokkeren, en hij gaat niet stilletjes programma's afsluiten — elke blokkade in de lijst heb jij zelf ingesteld.

vragen bij nieuwe verbindingen is een aparte instelling, standaard uit. aangezet vraagt een kaart rechtsboven naar een verbinding die geen regel dekt — alleen voor dat adres, of het hele programma — in plaats van dat hop het zelf beslist.

wat het niet is, en waar de grens ligt

hop is geen vpn en routeert of inspecteert je verkeer onderweg nergens naartoe: een verbinding gaat ofwel ongewijzigd door, of wordt bij het eerste pakket geweigerd. het kan niet filteren op url of pagina binnen een versleutelde verbinding — https verbergt alles voorbij het serveradres, dus "alleen deze ene pagina blokkeren" is geen regel die dit soort filter kan uitdrukken, niet bij hop en niet bij een app-firewall die op dezelfde manier is gebouwd.

het is ook geen dns-blokkering of contentfilter voor wat een browsertabblad toont: dat werkt door namen op te lossen of te herschrijven, een andere laag met andere afwegingen. en het verzamelt niets van wat het ziet: de adressenlijst en de regels die je instelt, blijven op deze Mac.

frequently asked questions

ziet of bewaart hop mijn verkeer?

nee. het filter beslist bij het eerste pakket van een verbinding en kijkt er nooit in; hop ontsleutelt niets, en de adressenlijst blijft op deze Mac.

is dit hetzelfde als een vpn?

nee. hop routeert niets en heeft geen servers. het laat een verbinding ofwel ongewijzigd door, of blokkeert hem bij het eerste pakket — wat er binnen een toegestane verbinding gebeurt, ziet en raakt het niet.

kan het één adres blokkeren zonder de hele app te blokkeren?

ja. open het programma om zijn adressen te zien, en blokkeer er elk apart van — een adresregel wint altijd van de schakelaar van het programma zelf.

wat gebeurt er als het netwerkfilter stopt met werken?

je internet blijft werken. er wordt niets geblokkeerd tot het filter terug is, en de module uitzetten stopt alleen de blokkades die jij hebt ingesteld — nooit de netwerktoegang van je Mac.

moet ik iets toestaan om dit te laten werken?

één keer. de eerste keer dat de module draait, vraagt macOS om hops netwerkfilter toe te staan in systeeminstellingen — dezelfde eenmalige vraag die elke app-firewall van dit soort nodig heeft.

vertraagt dit mijn internet?

het filter hoeft alleen naar het eerste pakket van elke nieuwe verbinding te kijken, niet naar het verkeer zelf, dus lopende overdrachten worden niet geraakt.

hoe verschilt dit van LuLu of Little Snitch?

hetzelfde idee, en daaronder hetzelfde soort macOS-filter. hops versie leeft in de menubalk naast zijn andere modules in plaats van als losse app, en houdt dezelfde grenzen aan: het blokkeert hele servers, nooit pagina's, en ontsleutelt niets.