# FireAI 如何监视你 Mac 上的连接

> 这就是 Mac 防火墙不需要内核扩展也能工作的原理：FireAI 以 Apple 网络扩展内容过滤器的形式运行在你的 Mac 上，因此它无需单独的辅助守护进程，就能查看并判断每个应用的连接。

FireAI Docs (HisnLabs) · 功能 · 自 FireAI 0.1.0 起可用
Canonical: https://hisnlabs.com/fireai/zh/docs/how-the-network-filter-works

**在 FireAI 中的位置：** 设置向导 (Setup)，以及每个显示实时连接的页面

清楚知道哪个应用在联网，用大白话说明白，而无需安装任何以隐藏后台服务方式运行的东西。

一个需要内核扩展、或者需要一个悄悄以 root 权限运行的辅助进程的防火墙，要让人完全信任并不容易。FireAI 转而基于 Apple 自己的网络扩展内容过滤器框架构建 —— 这与企业级 VPN 客户端等应用使用的机制相同 —— 以普通系统扩展的形式运行，你只需要在“设置向导”中批准一次。

## 这对你有什么用

你的 Mac 发出的每一次出站连接 —— 从 Zoom 加入通话，到游戏启动器检查更新 —— 都会先经过 FireAI。FireAI 依据代码签名而不仅仅是名称来精确识别应用，因此一个应用的假冒副本不会继承该应用的规则。

## 工作原理

- FireAI 注册了一个系统扩展，macOS 会在每一个新连接建立之前先询问它：应用身份、远程主机或 IP、端口和协议。
- 对于自行解析域名的应用（许多浏览器和 Electron 应用），FireAI 会读取 DNS 应答，把真实主机名关联到该连接上 —— 因此即便应用只显示一个 IP 地址，针对 `*.microsoft.com` 的规则依然能够匹配。
- 在“保护”(Protection) 页面关闭 `Protect this Mac`，并不会让 FireAI 停止监视：它依然会报告每一个连接，只是不再屏蔽或询问它们（FireAI Pilot、提示和规则也会一并暂停）。
- FireAI 也会对进入你 Mac 的连接执行规则，而不仅仅是出站连接 —— 但它从不会就一个入站连接向你弹出提示，目前也还不能显示哪些应用正在监听这些连接的列表。

## 需要了解的事

> **Note:** FireAI 只能看到过滤器被询问过的流量，而且仅限于过滤器正在运行期间。它不会读取加密连接的内容 —— 想了解它能和不能判断哪些信息，请参阅[如何在不解密的情况下检查连接](https://hisnlabs.com/fireai/en/docs/protocol-inspection-without-decryption)。

> **Warning:** 如果过滤器未能加载你的规则，FireAI 会放行流量并显示警报，而不会切断你 Mac 的网络连接。紧急断网开关是唯一一个刻意的“全部屏蔽”开关，需要你自己手动打开。

## 继续阅读

- [安装 FireAI 并完成设置向导](https://hisnlabs.com/fireai/zh/docs/install-and-finish-setup.md)
- [回答你的第一个连接提示，以及每种有效期的含义](https://hisnlabs.com/fireai/zh/docs/answer-your-first-connection-prompt.md)
- [规则：应用、网站、域名、IP 或地址段，永久生效或直到重启](https://hisnlabs.com/fireai/zh/docs/per-app-rules.md)
- [深度检测，无需解密任何内容](https://hisnlabs.com/fireai/zh/docs/protocol-inspection-without-decryption.md)

---

免费试用全部功能 17 天，无需绑定银行卡。 30 天退款保证。 [下载 Mac 版](https://hisnlabs.com/fireai/zh/download)