Mac VPN, filter sadržaja ili Private Relay: šta je aktivno

Na vašem Macu istovremeno mogu biti instalirani VPN tunel, filter sadržaja i iCloud Private Relay, a nijedan od njih ne objavljuje koji od njih oblikuje datu vezu. Panele postavki izgledaju slično, ikone izgledaju slično, a gotovo svaki proizvođač svoj proizvod naziva mrežnom sigurnošću. Tri činjenice ih razdvajaju: da li saobraćaj izlazi kroz udaljenu odredišnu točku koju možete imenovati, da li politika odlučuje dopusti-ili-odbij na pojedinačnim tokovima i da li se zaštita zaustavlja na Safariju. Kad ovo troje razjasnite, većina pitanja tipa je-li-moj-VPN-uključen odgovara sama sebi.

Tri uslova koja prepoznaju komponentu

Prvi uslov je izlaz. Pružalac tunela predaje pakete udaljenom pristupniku, pa se vaša javna adresa mijenja i, ako profil tako kaže, hostovi iza tog pristupnika postaju dostupni. Ako se adresa nikad ne promijeni i nikakva privatna podmreža se ne otvori, ne gledate u funkcionalan tunel, šta god pisalo u traci menija.

Drugi uslov je odluka. Filter sadržaja ocjenjuje tokove i vraća dopusti ili odbij. Može provesti blokadu kategorije, pravilo po aplikaciji ili politiku koju je poslao poslodavac, i može zabilježiti presudu. Ono što sam ne može jest dati saobraćaju kamo da ode.

Treći uslov je obim. Private Relay štiti definirani dio pretraživanja, a ne cijeli uređaj, i njegov je posao razdvojiti ko ste od onoga što posjećujete, a ne smjestiti vas na drugu mrežu.

Postavite ih jedan uz drugi i granice je teško promašiti:

Filter sadržaja je mašina pravila, ne izlaz

Na macOS-u filter dolazi kao Network Extension izgrađen na Appleovoj klasi pružaoca filtera, NEFilterDataProvider. U upravljanom raspoređivanju gura ga MDM, instalira se kao sistemsko proširenje i jednom se odobri u System Settings > General > Login Items and Extensions. Od tada vidi TCP tokove, a u nekim konfiguracijama i UDP, i vraća presudu za svaki.

Način neuspjeha je ono što zbunjuje ljude. Filter koji odbaci tok proizvodi timeout, zastalo TLS rukovanje ili reset, što izgleda baš kao tunel koji se podigao ali ne propušta saobraćaj. Javna adresa se nikad nije promijenila, jer nije bilo izlaza da je promijeni.

Komercijalni klijenti često objedinjuju obje uloge. Jedan instalater donosi i pružaoca tunela i filter, filter blokira, a tunel usmjerava. Ime aplikacije vam zato ne govori ništa o tome koja je komponenta odbila vezu. Provjerite listu proširenja, zatim povezanu uslugu, pa dnevnik klijenta — tim redom.

Private Relay pokriva Safari, ne cijelo računalo

Private Relay šalje pretraživanje koje pokriva kroz dva releja kojima upravljaju različite strane, pa nijedan pojedinačni operater ne drži i vaš identitet i vaša odredišta. To je dizajn privatnosti, ne tunel: nema pristupnika u koji možete ući, nema privatne podmreže i nema načina da izlaznu adresu prikvačite u zemlji koju odaberete.

Njegov je obim namjerno uzak — pokriva pretraživanje u Safariju zajedno s DNS upitima i nesigurnim HTTP učitavanjima koja ga prate. Terminal sesija, poštanski klijent, chat aplikacija i pokretač igara stoje izvan njega. Ako provjera u Terminalu i dalje pokazuje adresu vaše pristupne mreže, a Safari pokazuje adresu releja, to je očekivan rezultat, a ne pokvarena instalacija.

Dostupnost je uslovljena. Potreban je iCloud+ plan, ne nudi se u svakoj regiji, a upravljana mreža može blokirati pristup releju, pa Safari prelazi na direktnu vezu. Appleov pregled Private Relayja referenca je za trenutni obim. Kad je VPN profil povezan i nosi taj saobraćaj, relej se ne slaže povrh njega; putanju odlučuje profil.

Čitajte dokaze pravim redom

Počnite sa stanjem usluge, jer je to najjeftiniji signal. scutil --nc list ispisuje konfigurisane VPN usluge i to je li svaka povezana. Profil može godinama stajati tamo, a da nikad nije povezan, i ljudi to redovno računaju kao tunel.

Zatim pogledajte interfejse i rute. ifconfig pokazuje utun interfejse, ali samo njihovo prisustvo malo dokazuje, jer macOS koristi utun u više svrha osim VPN-a. Važno je vodi li zadana ruta u neki od njih, što javlja route -n get default.

Za razrješavanje imena scutil --dns navodi razrješivače koje će sistem stvarno koristiti, a tu se pojavljuje i pružalac DNS proxyja. Upoređivanje dig +short example.com s dig +short example.com @1.1.1.1 razdvaja razrješivač koji odgovara od onog koji se presreće.

Aktivnost proširenja stiže u objedinjeni dnevnik: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Tražite koje je proširenje počelo i je li filter prijavio presudu za tok koji vas zanima, a ne redak za pamćenje.

Suzite simptom prije nego što bilo šta isključite

Prvo klasificirajte kvar. Ime koje se ne razrješava, veza koja se odmah odbija i veza koja visi do isteka vremena tri su različita zapažanja s tri različita vlasnika. Razrješavanje upućuje na razrješivač ili DNS proxy. Trenutno odbijanje upućuje na pravilo filtera. Tišina obično upućuje na usmjeravanje ili na tunel koji je podignut ali ne prosljeđuje.

Na upravljanom Macu pretpostavite da filter pripada organizaciji. Isključivanje radi testiranja VPN-a uklanja komponentu koju ste htjeli promatrati, a MDM je često vraća pri sljedećoj provjeri. Pitajte administratora za naziv politike prije nego što bilo šta promijenite, i testirajte konkretnom aplikacijom koja je zakazala, a ne cijelim sistemom.

Još jedna zamka: isključivanje Private Relayja radi testiranja VPN-a ne govori ništa o stranom saobraćaju, jer relej taj saobraćaj nikad nije ni pokrivao. Svaki sloj mora se testirati na aplikaciji kojom stvarno upravlja.

Prođite kroz ovu listu i stanite na prvoj stavci koja padne:

• Prikazuje li scutil --nc list uslugu koju očekujete kao povezanu?
• Razlikuje li se javna adresa viđena iz Terminala od adrese koju je dodijelila vaša pristupna mreža?
• Je li instalirano proširenje filtera i je li zabilježilo presudu za tok koji pada?
• Je li kvar samo u Safariju? Ako jest, provjerite obim releja prije nego optužite tunel.

Ako sve četiri prođu a aplikacija i dalje pada, problem je iznad mrežnog sloja: postavke proxyja, povjerenje u certifikat ili lista dozvoljenih na razini aplikacije.