Mac-da VPN, məzmun filtri yoxsa Private Relay: hansı işləyir?
Mac-da üç şəbəkə qatı Parametrlərdə eyni görünür. Çıxış yoluna, axın siyasətinə və brauzer əhatəsinə baxaraq VPN-i, məzmun filtrini və Private Relay-i ayırd edin.
Mac-ınızda eyni anda VPN tuneli, məzmun filtri və iCloud Private Relay ola bilər və heç biri müəyyən bir bağlantını hansının formalaşdırdığını bildirmir. Parametrlər panelləri oxşar görünür, ikonlar oxşar görünür və demək olar ki, hər satıcı öz məhsulunu şəbəkə təhlükəsizliyi adlandırır. Onları üç fakt ayırır: trafikin adını çəkə biləcəyiniz uzaq son nöqtədən çıxıb-çıxmadığı, siyasət mühərrikinin ayrı-ayrı axınlar üzrə icazə və ya blok qərarları verib-vermədiyi və müdafiənin Safari-də dayanıb-dayanmadığı. Bu üçünü düzgün anlayın, VPN işləyirmi suallarının əksəriyyəti öz-özünə cavablanır.
Komponenti müəyyən edən üç şərt
Birinci şərt çıxışdır. Tunel provayderi paketləri uzaq şlüzə ötürür, buna görə ictimai ünvanınız dəyişir və profil belə deyirsə, həmin şlüzün arxasındakı hostlar əlçatan olur. Əgər ünvan heç vaxt dəyişmirsə və heç bir özəl alt şəbəkə açılmırsa, menyu paneli nə deyirsə desin, siz işləyən tunelə baxmırsınız.
İkinci şərt qərardır. Məzmun filtri axınları qiymətləndirir və icazə və ya blok qaytarır. O, kateqoriya bloku, hər tətbiq üçün qayda və ya işəgötürən tərəfindən göndərilən siyasət tətbiq edə bilər və qərarı qeydə ala bilər. Təkbaşına edə bilmədiyi şey trafikə getmək üçün yer verməkdir.
Üçüncü şərt əhatədir. Private Relay bütün cihazı deyil, brauzerin müəyyən bir dilimini qoruyur və vəzifəsi kim olduğunuzu nə ziyarət etdiyinizdən ayırmaqdır, sizi başqa şəbəkəyə yerləşdirmək deyil.
Üçünü yan-yana qoyun, sərhədləri qaçırmaq çətin olur:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Məzmun filtri siyasət mühərrikidir, çıxış deyil
macOS-da filtr Apple-ın filtr məlumat provayderi sinfi NEFilterDataProvider üzərində qurulmuş Şəbəkə Genişlənməsi kimi gəlir. İdarə olunan yerləşdirmədə o, MDM tərəfindən göndərilir, sistem genişlənməsi kimi quraşdırılır və Sistem Parametrləri, Ümumi, Giriş Elementləri və Genişlənmələr altında bir dəfə təsdiqlənir. Bundan sonra TCP axınlarını, bəzi konfiqurasiyalarda UDP-ni də görür və hər biri üzrə qərar qaytarır.
Uğursuzluq rejimi insanları çaşdıran şeydir. Axını bloklayan filtr fasilə, dayanmış TLS əl sıxışması və ya sıfırlama yaradır ki, bu da qalxmış, amma trafiki keçirə bilməyən tunel kimi görünür. İctimai ünvan heç vaxt dəyişmədi, çünki onu dəyişəcək çıxış heç vaxt yox idi.
Kommersiya müştəriləri çox vaxt hər iki rolu birləşdirir. Bir quraşdırıcı tunel provayderi və filtr göndərir, filtri bloklamanı, tunel isə marşrutlaşdırmanı edir. Yəni tətbiqin adı bağlantını hansı komponentin rədd etdiyi barədə heç nə demir. Əvvəlcə genişlənmələr siyahısına, sonra qoşulmuş xidmətə, sonra müştəri jurnalına baxın.
Private Relay Safari-ni əhatə edir, maşını deyil
Private Relay əhatə etdiyi brauzeri ayrı tərəflərin idarə etdiyi iki rele üzərindən göndərir, beləliklə heç bir tək operator həm kimliyinizi, həm də təyinatlarınızı saxlamır. Bu, məxfilik dizaynıdır, tunel deyil: içinə girə biləcəyiniz şlüz, özəl alt şəbəkə və seçdiyiniz ölkədə çıxış ünvanı sabitləmək imkanı yoxdur.
Əhatəsi qəsdən dardır və Safari brauzerini onunla birlikdə gələn DNS sorğuları və təhlükəsiz olmayan HTTP yükləmələri ilə birlikdə əhatə edir. Terminal sessiyası, poçt müştərisi, söhbət tətbiqi və oyun başladıcısı onun xaricindədir. Əgər Terminal-da yoxlama hələ də giriş şəbəkənizin ünvanını göstərirsə, Safari isə rele ünvanı göstərirsə, bu gözlənilən nəticədir, pozulmuş quraşdırma deyil.
Əlçatanlıq şərtlidir. iCloud+ planı tələb edir, hər regionda təqdim olunmur və idarə olunan şəbəkə rele girişini bloklaya bilər; bu halda Safari birbaşa bağlantıya keçir. Apple-ın Private Relay icmalı cari əhatə üçün istinaddır. VPN profili qoşulub həmin trafiki daşıyırsa, rele onun üstünə yığılmır; yolu profil müəyyən edir.
Dəlilləri düzgün ardıcıllıqla oxuyun
Xidmət vəziyyəti ilə başlayın, çünki ən ucuz siqnaldır. scutil --nc list konfiqurasiya edilmiş VPN xidmətlərini və hər birinin qoşulub-qoşulmadığını çap edir. Profil illərlə orada qoşulmadan dayana bilər və insanlar bunu adətən tunel sayır.
Sonra interfeyslərə və marşrutlara baxın. ifconfig utun interfeyslərini göstərir, lakin onların mövcudluğu təkbaşına az şey sübut edir, çünki macOS utun-u VPN-dən başqa bir neçə məqsəd üçün istifadə edir. Əhəmiyyətli olan standart marşrutun onlardan birinə yönəlib-yönəlmədiyidir və bunu route -n get default bildirir.
Ad həlli üçün scutil --dns sistemin həqiqətən istifadə edəcəyi həllediciləri sadalayır və orada DNS proksi provayderi görünür. dig +short example.com ilə dig +short example.com @1.1.1.1-nı müqayisə etmək cavab verən həlledici ilə tutulan həlledicini ayırır.
Genişlənmə fəaliyyəti vahid jurnala çatır: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Siz hansı genişlənmənin başladığını və filtrin maraqlandığınız axın üzrə qərar bildirib-bildirmədiyini axtarırsınız, yadda saxlanacaq sətir deyil.
Nəyisə söndürməzdən əvvəl simptomu daraldın
Əvvəlcə nasazlığı təsnif edin. Həll olunmayan ad, dərhal rədd edilən bağlantı və fasiləyə qədər asılı qalan bağlantı — bunlar üç fərqli sahibi olan üç fərqli müşahidədir. Həll həllediciyə və ya DNS proksisinə işarə edir. Dərhal rədd filtr qaydasına işarə edir. Sükut adətən marşrutlaşdırmaya və ya qalxmış, amma yönləndirməyən tunelə işarə edir.
İdarə olunan Mac-da filtrin təşkilata aid olduğunu qəbul edin. VPN-i yoxlamaq üçün onu söndürmək müşahidə etməyə çalışdığınız komponenti aradan qaldırır və MDM onu çox vaxt növbəti qeydiyyatda bərpa edir. Nəyisə dəyişməzdən əvvəl sistem administratorundan siyasətin adını soruşun və bütün sistem əvəzinə uğursuz olan konkret tətbiqlə sınaqdan keçirin.
Daha bir tələ: VPN-i yoxlamaq üçün Private Relay-i söndürmək xarici trafik barədə heç nə demir, çünki rele o trafiki əvvəldən əhatə etmirdi. Hər qat həqiqətən idarə etdiyi tətbiq üzərində sınanmalıdır.
Bu siyahını işləyin və uğursuz olan ilk bənddə dayanın:
scutil --nc listgözlədiyiniz xidməti qoşulmuş kimi göstərirmi?- Terminal-dan görünən ictimai ünvan giriş şəbəkənizin təyin etdiyi ünvandan fərqlənirmi?
- Filtr genişlənməsi quraşdırılıbmı və uğursuz axın üçün qərar qeyd edibmi?
- Uğursuzluq yalnız Safari-dədir? Əgər belədirsə, tuneli günahlandırmazdan əvvəl rele əhatəsini yoxlayın.
Dördü də keçsə və tətbiq hələ də uğursuz olursa, problem şəbəkə qatının üstündədir: proksi parametrləri, sertifikat etibarı və ya tətbiq səviyyəsində icazə siyahısı.