ru Known Limitations

Известные ограничения

Нужна macOS 14 или новее на Apple Silicon или Intel. Для Apple Silicon выберите обычный DMG, для Intel — Intel DMG (-intel.dmg). Для безопасной песочницы нужны Apple Silicon и macOS 26 или новее. Liquid Glass и Пункт управления требуют macOS 26; в macOS 14/15 используются стандартные элементы. Подсказки доменов Apple Intelligence требуют macOS 26 и доступную локальную модель; индексирование серверов в Spotlight требует macOS 15.

Что защищает каждый режим, а что нет. Если V2Mac работает хуже, чем сказано на этой странице, это ошибка: сообщите о ней приватно (см. SECURITY.md в репозитории).

Что покрывает каждый режим

Режим	Покрывает	Не покрывает
System Proxy	Приложения, которые следуют настройке прокси macOS	Приложения, которые её игнорируют, и их DNS-запросы идут напрямую
TUN Mode	Трафик, попадающий в маршруты туннеля	Ваши правила Direct и региональные пакеты идут напрямую намеренно; локальная сеть остаётся прямой
TUN Mode + Kill switch	Пока туннель не работает, pf блокирует всё, кроме списка ниже	Это не «ничего не выходит»: см. следующий раздел
Secure Sandbox	Приложения в mini VM выходят в интернет только через выбранный для неё выход	Все mini VM используют одно ядро Linux; то, что вы разрешили (Shared, буфер обмена, звук, микрофон, SSH agent), пересекает границу
NoLeaker, Strict	Запросы, которые браузер позволяет расширению маршрутизировать	Уже открытые соединения, части браузера, недоступные расширению, и трафик вне браузера
NoLeaker, Compatibility	Как Strict, плюс исключения Direct	Сайты из исключений Direct видят ваш настоящий IP: это исключение, а не утечка
NoLeaker, System VPN/TUN	Согласует часовой пояс и язык браузера с выходом VPN	Сам ничего не маршрутизирует и не имеет kill switch: если VPN отключится, браузер пойдёт напрямую

Kill switch: что проходит во время блокировки

• Адреса вашего сервера, чтобы V2Mac мог переподключиться.
• DNS (порт 53) только к DNS-серверам самой сети, или 1.1.1.1 и 8.8.8.8, если их нет. Собственные запросы macOS уходят через один системный процесс, поэтому, пока туннель не работает, запросы других приложений тоже могут дойти до этих серверов. Это ещё не измерено.
• DHCP, а IPv6 только для поиска маршрутизатора и соседей в локальном сегменте.
• Локальная сеть (принтеры, NAS, AirPlay), если не включено Block local network too.

Соединения, открытые до блокировки, закрываются при её начале. Settings показывает On, только когда V2Mac прочитал правила pf обратно и убедился, что они действуют.

V2Mac на вашем Mac

• API управления: API ядра — это сокет, который может открыть только ваш пользователь macOS. Другие пользователи и приложения в песочнице до него не доберутся; любая программа, запущенная от вашего имени, доберётся, так как она и так может прочитать вашу конфигурацию.
• Счётчики трафика: страница счётчиков ядра остаётся на 127.0.0.1 без пароля. Сайт с DNS rebinding может её прочитать: объём трафика, задержки серверов и командную строку ядра (в ней есть имя вашего пользователя). Ключей серверов там нет.
• Allow connections from LAN без пароля: любой в вашей сети может пользоваться вашим прокси.
• Check for Newer Core (Advanced): ядро из релизов Xray проверяется только по хешу из того же релиза. Встроенное ядро проверяется по хешу, подписанному в приложении.
• Geo-файлы и региональные пакеты загружаются по HTTPS, но не подписаны V2Mac.
• Приложение ещё не нотариально заверено Apple. В разделе Установка показано, как проверить загрузку. Обновления внутри приложения подписаны.

Secure Sandbox

• mini VM — это набор контейнеров с общим ядром Linux внутри одной VM без сетевого устройства. Ошибка в этом ядре может позволить одной mini VM добраться до другой. Ваш Mac находится вне этой VM.
• Приложения одной mini VM используют одну домашнюю папку.
• Пакеты Linux общие для всех mini VM: установка или обновление пакета меняет его для каждой mini VM.
• Собственная песочница Chromium выключена (--no-sandbox): сайт, взломавший Chromium, получает доступ к остальной части этого приложения. Контейнер и mini VM по-прежнему не пускают его к другим mini VM и к вашему Mac.
• Приложения — это программы Linux ARM64; Mac-приложение для каждого — окно вокруг него.

NoLeaker

• Проверка выхода: NoLeaker спрашивает ваш выходной IP у двух сервисов. Если ответы расходятся, один из запросов прошёл мимо туннеля, и всплывающее окно сообщает, что выход не определён точно.
• Режим Strict и капчи: на страницах капчи настоящие часовой пояс и язык могут быть видны несколько миллисекунд, пока не придут настройки NoLeaker.