VPN за Mac, филтър за съдържание или Private Relay: кое е активно?
Три мрежови слоя в Mac изглеждат еднакво в Настройки. Използвайте пътя на излизане, политиката на потоците и обхвата на сърфирането, за да различите VPN, филтър за съдържание и Private Relay.
Вашият Mac може да има едновременно VPN тунел, филтър за съдържание и iCloud Private Relay и нито един от тях не съобщава кой оформя дадена връзка. Панелите с настройки изглеждат сходно, иконите изглеждат сходно и почти всеки доставчик нарича продукта си мрежова сигурност. Три факта ги разделят: дали трафикът излиза през отдалечена крайна точка, която можете да назовете, дали машина за политики взема решения за разрешаване или блокиране на отделни потоци и дали защитата спира до Safari. Подредете тези три неща и повечето въпроси дали VPN-ът ми е включен ще си отговорят сами.
Три условия, които определят компонента
Условие едно е изходът. Доставчикът на тунел предава пакетите на отдалечен шлюз, така че публичният ви адрес се променя и, ако профилът го казва, хостовете зад този шлюз стават достъпни. Ако адресът никога не се променя и не се отваря частна подмрежа, вие не гледате работещ тунел, каквото и да казва лентата с менюта.
Условие две е решението. Филтърът за съдържание оценява потоците и връща разрешаване или блокиране. Той може да наложи блокиране на категория, правило за отделно приложение или политика, изпратена от работодател, и може да записва присъдата. Това, което не може да направи сам, е да даде на трафика къде да отиде.
Условие три е обхватът. Private Relay защитава определен дял от сърфирането, а не цялото устройство, и задачата му е да отдели кой сте от това какво посещавате, а не да ви постави в друга мрежа.
Подредете трите едно до друго и границите трудно се пропускат:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Филтърът за съдържание е машина за политики, а не изход
В macOS филтърът идва като Network Extension, изграден върху класа за доставчик на филтърни данни на Apple, NEFilterDataProvider. При управлявано внедряване той се изпраща от MDM, инсталира се като системно разширение и се одобрява веднъж в Системни настройки, Общи, Елементи за вход и разширения. Оттам нататък вижда TCP потоци, а при някои конфигурации и UDP, и връща присъда за всеки от тях.
Режимът на отказ е това, което обърква хората. Филтър, който блокира поток, предизвиква изчакване, заседнало TLS ръкостискане или нулиране, което изглежда точно като тунел, който се е вдигнал, но не пропуска трафик. Публичният адрес никога не се е променил, защото никога не е имало изход, който да го промени.
Търговските клиенти често обединяват двете роли. Един инсталатор доставя доставчик на тунел и филтър, филтърът прави блокирането, а тунелът прави маршрутизирането. Затова името на приложението не ви казва нищо за това кой компонент е отказал връзката. Проверете списъка с разширения, после свързаната услуга, после журнала на клиента, в този ред.
Private Relay покрива Safari, а не машината
Private Relay изпраща сърфирането, което покрива, през два релета, управлявани от отделни страни, така че нито един оператор не държи едновременно самоличността ви и дестинациите ви. Това е дизайн за поверителност, а не тунел: няма шлюз, в който да влезете, няма частна подмрежа и няма начин да закрепите адрес за излизане в избрана от вас държава.
Обхватът му е умишлено тесен и покрива сърфирането в Safari заедно с DNS заявките и незащитените HTTP зареждания, които вървят с него. Терминална сесия, пощенски клиент, чат приложение и стартер за игри остават извън него. Ако проверка в Terminal все още показва адреса на вашата мрежа за достъп, докато Safari показва адрес на реле, това е очакваният резултат, а не счупена инсталация.
Наличността е условна. Нужен е план iCloud+, не се предлага във всеки регион и управлявана мрежа може да блокира достъпа до релето, при което Safari се връща към директна връзка. Прегледът на Apple за Private Relay е справката за текущия обхват. Когато VPN профил е свързан и носи този трафик, релето не се наслагва върху него; профилът решава пътя.
Четете доказателствата в правилния ред
Започнете със състоянието на услугата, защото това е най-евтиният сигнал. scutil --nc list отпечатва конфигурираните VPN услуги и дали всяка е свързана. Профил може да стои там с години, без никога да се свърже, и хората редовно смятат това за тунел.
След това погледнете интерфейсите и маршрутите. ifconfig показва utun интерфейси, но присъствието им само по себе си доказва малко, тъй като macOS използва utun за няколко цели извън VPN. Важно е дали маршрутът по подразбиране сочи към един от тях, за което съобщава route -n get default.
За разрешаване на имена scutil --dns изброява резолверите, които системата действително ще използва, и там се появява доставчик на DNS прокси. Сравняването на dig +short example.com с dig +short example.com @1.1.1.1 отделя резолвера, който отговаря, от резолвера, който се прихваща.
Активността на разширенията стига до обединения журнал: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Търсите кое разширение е стартирало и дали филтър е докладвал присъда за потока, който ви интересува, а не ред за запаметяване.
Стеснете симптома, преди да изключвате каквото и да е
Класифицирайте отказа първо. Име, което не се разрешава, връзка, отказана веднага, и връзка, която виси до изчакване, са три различни наблюдения с три различни собственика. Разрешаването сочи към резолвер или DNS прокси. Незабавният отказ сочи към правило на филтъра. Тишината обикновено сочи към маршрутизиране или към тунел, който е вдигнат, но не препраща.
На управляван Mac приемете, че филтърът принадлежи на организацията. Изключването му, за да тествате VPN, премахва компонента, който сте се опитвали да наблюдавате, и MDM често го възстановява при следващата регистрация. Попитайте администратора за името на политиката, преди да промените нещо, и тествайте с конкретното приложение, което се е провалило, вместо с цялата система.
Още един капан: изключването на Private Relay, за да тествате VPN, не ви казва нищо за чуждия трафик, защото релето никога не е покривало този трафик от самото начало. Всеки слой трябва да се тества в приложението, което той действително управлява.
Минете през този списък и спрете на първия елемент, който се провали:
- Показва ли
scutil --nc listуслугата, която очаквате, като свързана? - Различава ли се публичният адрес, видим от Terminal, от адреса, който вашата мрежа за достъп е задала?
- Инсталирано ли е разширение за филтър и записа ли то присъда за проваления поток?
- Провалът само в Safari ли е? Ако е така, проверете обхвата на релето, преди да обвинявате тунела.
Ако и четирите минат, а приложението все още се проваля, проблемът е над мрежовия слой: настройки за прокси, доверие към сертификат или списък за разрешаване на ниво приложение.