了解 networkextension 框架中提供的 api，这些 api 让你的 app 能够灵活地扩展系统的核心网络功能 — 例如实现网络内容过滤器、创建和管理 vpn 配置等。在 ios、ipados 和 macos 26 中，你现在可以构建更为强大的内容过滤器，让它根据整个 url (而不仅是主机名) 来做出流量决策，同时确保隐私和安全丝毫不受影响。我们将首先简要介绍 networkextension 框架的一些主要用例，包括网络中继和 vpn。然后，我们将深入探讨这一全新的 url 过滤器 api 及其关键组件，包括 private information retrieval、privacy pass 等。

视频封面
视频地址

此文章由AI生成，可能存在错误，如有问题，请联系djs66256@163.com

利用 NetworkExtension 优化网络流量过滤与隧道技术

概述

NetworkExtension 框架为开发者提供了一系列强大的 API，用于扩展和定制 Apple 平台的核心网络功能。在 iOS、iPadOS 和 macOS 26 中，该框架引入了全新的 URL 过滤器 API，使得开发者能够基于完整 URL 而不仅仅是主机名来进行流量过滤决策，同时确保了用户的隐私和安全。

NetworkExtension 框架简介

NetworkExtension 是一个功能丰富的框架，允许开发者构建能够扩展和定制 Apple 平台网络能力的应用。该框架与整个网络堆栈紧密集成，包括 Network 框架、CFNetwork、WebKit 和 Sockets API，同时也与系统级组件如路由、流量策略和各类系统管理深度整合。

主要功能

NetworkExtension 框架支持多种网络定制方式：

  • Wi-Fi 管理和热点 API（仅 iOS）：允许应用配置 Wi-Fi 设置并与 Wi-Fi 热点交互
  • 本地推送 API：适用于无法访问 Apple 推送通知服务的网络环境
  • DNS 配置和代理 API：用于构建保护 DNS 流量免受攻击的安全应用
  • 透明代理 API（仅 macOS）：可将特定网站流量重定向至云端安全服务
  • 远程资源安全访问：通过隧道技术保护网络流量
  • 内容过滤：实现对网络流量的监控和过滤

远程资源访问技术

NetworkExtension 提供了两种主要的方法来实现安全的远程资源访问：

网络中继

网络中继适合需要隧道传输 TCP 或 UDP 流量以访问特定应用的场景。MASQUE 协议提供了安全代理且性能优化，平台内置支持无需额外扩展。

基于 IP 的 VPN

IP VPN 适合企业将公司网络扩展至远程员工，或高安全要求的组织需要将所有管理设备流量通过企业网络传输。

开发者可以通过以下方式创建 IP VPN 隧道：

  • 使用 NEVPNManager API 内置协议（IKEv2/IPsec）
  • 使用 NEPacketTunnelProvider 实现自定义隧道协议

重要注意事项：

  • NetworkExtension 是构建 VPN 应用的唯一官方支持 API
  • 禁止使用 Packet Filter 或直接修改 Mac 路由表
  • NEPacketTunnelProvider 仅应用于 IP 层流量隧道传输

内容过滤技术

NetworkExtension 的内容过滤 API 允许开发者检查设备流量进行监控或过滤决策。传统的内容过滤器存在以下局限：

  • 只能基于流量级信息（如主机和端口）做决策
  • HTTPS 加密导致无法获取 URL 详细内容
  • 无法精准过滤特定资源

iOS 26 全新 URL 过滤器

iOS 26 引入了全新的 URL 过滤器功能，允许基于完整 URL 进行内容过滤决策。该技术具有以下特点：

应用场景

  • 家长控制应用屏蔽有害网站
  • 学校应用限制社交媒体/赌博等内容
  • 企业屏蔽与工作无关的内容

隐私保护设计

  • 采用最先进加密技术
  • URL 敏感信息不会泄露给应用
  • 后端服务器查询完全匿名化
  • Apple 和服务器都无法获取内容与身份信息

技术实现四大支柱

  1. Bloom 过滤器：快速预过滤（可能假阳性但无假阴性）
  2. **私有信息检索 (PIR)**：使用同态加密实现加密查询
  3. **隐私通行证 (Privacy Pass)**：匿名认证机制
  4. **无感 HTTP 中继 (Oblivious HTTP Relay)**：隐藏客户端 IP 地址

实现步骤

开发者可以通过以下步骤实现 URL 过滤器：

  1. 设置 PIR 服务器
  2. 构建 Bloom 过滤器
  3. 构建 URL 过滤应用
  4. 构建应用扩展

示例代码：

let manager = NEURLFilterManager.shared
try await manager.loadFromPreferences()
try manager.setConfiguration(
    pirServerURL: URL(string:"https://pir.example.com")!,
    pirPrivacyPassIssuerURL: URL(string:"https://privacypass.example.com")!,
    pirAuthenticationToken: "1234",
    controlProviderBundleIdentifier: "com.example.myURLFilter.extension")
manager.prefilterFetchInterval = 86400 // 每日更新

总结

NetworkExtension 框架为开发者提供了强大的工具，使其能够：

  • 使用网络中继安全访问 TCP/UDP 流量
  • 构建完整的 VPN 解决方案
  • 通过 URL 过滤 API 创建强大的内容过滤器

开发者可以立即查看相关示例和文档开始开发工作。

相关视频

将隐私保护融入开发流程
适用于现代 Mac 的网络扩展

文档资源

按 URL 过滤流量
NEHotspotManager
Network Extension
NEURLFilterManager
PIRService
TN3120：网络扩展包隧道提供商的预期用例
TN3165：包过滤器不是 API
verdict(for:)