VPN на Mac, фільтр змесціва ці Private Relay: што з гэтага працуе?
Тры сеткавыя ўзроўні на Mac выглядаюць аднолькава ў Наладах. Праверце шлях выхаду, палітыку патокаў і ахоп прагляду, каб адрозніць VPN, фільтр змесціва і Private Relay.
На вашым Mac могуць адначасова працаваць тунель VPN, фільтр змесціва і iCloud Private Relay, і ніводзін з іх не паведамляе, які менавіта фармуе пэўнае злучэнне. Панэлі налад выглядаюць падобна, значкі выглядаюць падобна, і амаль кожны пастаўшчык называе свой прадукт сеткавай бяспекай. Іх раздзяляюць тры факты: ці трафік выходзіць праз аддаленую канчатковую кропку, якую вы можаце назваць, ці механізм палітыкі прымае рашэнні пра дазвол або скід па асобных патоках, і ці абарона спыняецца на Safari. Разбярыцеся з гэтымі трыма, і большасць пытанняў пра тое, ці ўключаны ваш VPN, адпадуць самі сабой.
Тры ўмовы, якія вызначаюць кампанент
Умова першая — выхад. Пастаўшчык тунеля перадае пакеты аддаленаму шлюзу, таму ваш публічны адрас змяняецца, і, калі профіль так кажа, хасты за гэтым шлюзам становяцца дасягальнымі. Калі адрас ніколі не змяняецца і ніякая прыватная падсетка не адкрываецца, вы глядзіце не на працоўны тунель, што б ні казала меню.
Умова другая — рашэнне. Фільтр змесціва ацэньвае патокі і вяртае дазвол або скід. Ён можа ўжываць блакаванне катэгорыі, правіла для асобнай праграмы або палітыку, якую накіраваў працадаўца, і можа запісваць вердыкт. Чаго ён не можа зрабіць сам — даць трафіку куды ісці.
Умова трэцяя — ахоп. Private Relay абараняе вызначаны зрэз прагляду, а не ўсю прыладу, і яго задача — аддзяліць тое, хто вы ёсць, ад таго, што вы наведваеце, а не размясціць вас у іншай сетцы.
Пастаўце ўсе тры побач, і межы цяжка не заўважыць:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Фільтр змесціва — гэта механізм палітыкі, а не выхад
На macOS фільтр прыходзіць як Network Extension, пабудаваны на класе пастаўшчыка даных фільтра Apple, NEFilterDataProvider. У кіраваным разгортванні ён паступае праз MDM, усталёўваецца як сістэмнае пашырэнне і аднойчы ўхваляецца ў раздзеле Сістэмныя налады, Агульныя, Элементы ўваходу і пашырэнні. З гэтага моманту ён бачыць патокі TCP, а ў некаторых канфігурацыях і UDP, і вяртае вердыкт па кожным.
Рэжым збою — гэта тое, што блытае людзей. Фільтр, які скідае паток, стварае тайм-аўт, спыненае рукапацісканне TLS або скід, што выглядае дакладна як тунель, які падняўся, але не прапускае трафік. Публічны адрас ніколі не змяняўся, бо выхаду, каб яго змяніць, ніколі не было.
Камерцыйныя кліенты часта аб'ядноўваюць абедзве ролі. Адзін інсталятар пастаўляе пастаўшчыка тунеля і фільтр, фільтр робіць блакаванне, а тунель робіць маршрутызацыю. Таму назва праграмы нічога не кажа пра тое, які кампанент адмовіў у злучэнні. Праверце спіс пашырэнняў, потым падключаную службу, потым журнал кліента — менавіта ў такім парадку.
Private Relay ахоплівае Safari, а не ўвесь камп'ютар
Private Relay накіроўвае прагляд, які ён ахоплівае, праз два рэлеі, якімі кіруюць асобныя бакі, таму ніводзін аператар не трымае адначасова і вашу асобу, і вашыя пункты прызначэння. Гэта праект для прыватнасці, а не тунель: няма шлюза, у які можна ўвайсці, няма прыватнай падсеткі і няма спосабу замацаваць адрас выхаду ў краіне на ваш выбар.
Яго ахоп наўмысна вузкі: прагляд у Safari разам з запытамі DNS і незабяспечнымі загрузкамі HTTP, якія з ім ідуць. Сеанс тэрмінала, паштовы кліент, праграма чата і запускальнік гульняў знаходзяцца па-за ім. Калі праверка ў Terminal па-ранейшаму паказвае адрас вашай сеткі доступу, а Safari паказвае адрас рэлея, гэта чаканы вынік, а не зламаная ўстаноўка.
Даступнасць мае ўмовы. Патрэбен план iCloud+, ён прапануецца не ў кожным рэгіёне, і кіраваная сетка можа блакаваць доступ да рэлея, і тады Safari вяртаецца да прамога злучэння. Агляд Apple для Private Relay — гэта даведка для бягучага ахопу. Калі профіль VPN падключаны і нясе гэты трафік, рэлей не накладаецца зверху; шлях вызначае профіль.
Чытайце доказы ў правільным парадку
Пачніце са стану службы, бо гэта самы танны сігнал. scutil --nc list выводзіць наладжаныя службы VPN і тое, ці падключана кожная. Профіль можа ляжаць там гадамі, ніколі не падключаючыся, і людзі звычайна лічаць гэта тунелем.
Затым паглядзіце на інтэрфейсы і маршруты. ifconfig паказвае інтэрфейсы utun, але іх наяўнасць сама па сабе мала што даказвае, бо macOS выкарыстоўвае utun для некалькіх мэт па-за VPN. Важна тое, ці накіраваны маршрут па змаўчанні ў адзін з іх, пра што паведамляе route -n get default.
Для развязання імёнаў scutil --dns пералічвае рэзалверы, якія сістэма рэальна будзе выкарыстоўваць, і пастаўшчык проксі DNS паказваецца там. Параўнанне dig +short example.com з dig +short example.com @1.1.1.1 аддзяляе рэзалвер, які адказвае, ад рэзалвера, які перахопліваюць.
Актыўнасць пашырэнняў трапляе ў аб'яднаны журнал: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Вы шукаеце, якое пашырэнне запусцілася і ці паведаміў фільтр вердыкт па патоцы, які вас цікавіць, а не радок для запамінання.
Звужайце сімптом, перш чым нешта адключаць
Спачатку класіфікуйце збой. Імя, якое не развязваецца, злучэнне, адразу адхіленае, і злучэнне, якое вісіць да тайм-аўту, — тры розныя назіранні з трыма рознымі ўласнікамі. Развязанне паказвае на рэзалвер або проксі DNS. Неадкладная адмова паказвае на правіла фільтра. Цішыня звычайна паказвае на маршрутызацыю або на тунель, які падняўся, але не перасылае трафік.
На кіраваным Mac мяркуйце, што фільтр належыць арганізацыі. Адключэнне яго для праверкі VPN выдаляе кампанент, які вы спрабавалі назіраць, і MDM часта аднаўляе яго пры наступнай рэгістрацыі. Спытайце ў адміністратара назву палітыкі, перш чым нешта змяняць, і тэстуйце праз канкрэтную праграму, якая не спрацавала, а не праз усю сістэму.
Яшчэ адна пастка: выключэнне Private Relay для праверкі VPN нічога не кажа пра знешні трафік, бо рэлей з самага пачатку гэты трафік не ахопліваў. Кожны ўзровень трэба тэставаць у той праграме, якой ён рэальна кіруе.
Прайдзіце па гэтым спісе і спыніцеся на першым пункце, які не спрацаваў:
- Ці паказвае
scutil --nc listслужбу, якую вы чакаеце, як падключаную? - Ці адрозніваецца публічны адрас, бачны з Terminal, ад адрасу, які выдзяліла ваша сетка доступу?
- Ці ўсталявана пашырэнне фільтра і ці запісала яно вердыкт для збойнага патоку?
- Ці збой толькі ў Safari? Калі так, праверце ахоп рэлея, перш чым вінаваціць тунель.
Калі ўсе чатыры пункты пройдзены, а праграма ўсё яшчэ не працуе, праблема вышэй за сеткавы ўзровень: налады проксі, давер да сертыфіката або спіс дазволеных на ўзроўні праграмы.