VPN Mac, hidlydd cynnwys neu Private Relay: pa un sy'n weithredol
Mae tair haen rwydwaith ar y Mac yn edrych yr un fath yn Settings. Defnyddiwch lwybr allanfa, polisi llif a chwmpas pori i wahaniaethu rhwng VPN, hidlydd cynnwys a Private Relay.
Gall eich Mac fod â thwnnel VPN, hidlydd cynnwys ac iCloud Private Relay wedi'u gosod ar unwaith, ac nid oes yr un ohonynt yn cyhoeddi pa un sy'n llunio cysylltiad penodol. Mae'r paneli gosodiadau'n edrych yn debyg, mae'r eiconau'n edrych yn debyg, ac mae bron pob gwerthwr yn galw ei gynnyrch yn ddiogelwch rhwydwaith. Mae tair ffaith yn eu gwahanu: a yw traffig yn gadael drwy bwynt terfyn anghysbell y gallwch ei enwi, a yw peiriant polisi'n penderfynu caniatáu-neu-ollwng ar lifau unigol, ac a yw'r amddiffyniad yn stopio gyda Safari. Ewch â'r tri hyn yn syth a bydd y rhan fwyaf o gwestiynau am dan y VPN yn ateb eu hunain.
Tair amod sy'n nodi'r gydran
Yr amod gyntaf yw'r allanfa. Mae darparwr twnnel yn trosglwyddo pecynnau i borth anghysbell, felly mae eich cyfeiriad cyhoeddus yn newid ac, os yw'r proffil yn dweud hynny, mae gwesteiwyr y tu ôl i'r porth hwnnw'n dod yn gyrraeddadwy. Os nad yw'r cyfeiriad byth yn newid ac nad oes isrwydwaith preifat yn agor, nid ydych yn edrych ar dwnnel gweithredol, beth bynnag mae'r bar dewislen yn ei ddweud.
Yr ail amod yw'r penderfyniad. Mae hidlydd cynnwys yn gwerthuso llifau ac yn dychwelyd caniatáu neu ollwng. Gall orfodi bloc categori, rheol fesul ap neu bolisi a wthiwyd gan gyflogwr, a gall gofnodi'r dyfarniad. Yr hyn na all ei wneud ar ei ben ei hun yw rhoi man i'r traffig fynd iddo.
Y drydedd amod yw cwmpas. Mae Private Relay yn amddiffyn darn diffiniedig o bori yn hytrach na dyfais gyfan, a'i waith yw gwahanu pwy ydych chi oddi wrth yr hyn rydych chi'n ymweld ag ef, nid eich rhoi ar rwydwaith arall.
Eu rhoi ochr yn ochr a bydd y ffiniau'n anodd eu colli:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Peiriant polisi yw hidlydd cynnwys, nid allanfa
Ar macOS mae hidlydd yn dod fel Network Extension wedi'i adeiladu ar ddosbarth darparwr data hidlo Apple, NEFilterDataProvider. Mewn defnydd a reolir mae'n cael ei wthio gan MDM, ei osod fel estyniad system, a'i gymeradwyo unwaith o dan System Settings > General > Login Items and Extensions. O hynny ymlaen mae'n gweld llifau TCP, ac mewn rhai ffurfweddiadau UDP hefyd, ac yn dychwelyd dyfarniad ar bob un.
Y modd methu sy'n drysu pobl. Mae hidlydd sy'n gollwng llif yn cynhyrchu terfyn amser, ysgwyd llaw TLS wedi'r glanio neu ailosodiad, sy'n edrych yn union fel twnnel sydd wedi codi ond na all basio traffig. Nid yw'r cyfeiriad cyhoeddus wedi newid erioed, oherwydd nid oedd allanfa i'w newid.
Mae cleientiaid masnachol yn aml yn cyfuno'r ddwy rôl. Mae un gosodwr yn dod â darparwr twnnel a hidlydd, y hidlydd sy'n blocio, a'r twnnel sy'n llwybro. Felly nid yw enw'r ap yn dweud dim wrthych am ba gydran a wrthododd y cysylltiad. Gwiriwch y rhestr estyniadau, yna'r gwasanaeth cysylltiedig, yna log y cleient, yn y drefn honno.
Mae Private Relay yn gorchuddio Safari, nid y peiriant
Mae Private Relay yn anfon y pori y mae'n ei orchuddio drwy ddau relé a weithredir gan bartïon ar wahân, felly nid oes unrhyw weithredwr unigol yn dal eich hunaniaeth a'ch cyrchfannau gyda'i gilydd. Dyluniad preifatrwydd yw hwn, nid twnnel: nid oes porth i fynd iddo, dim isrwydwaith preifat, a dim ffordd i binio cyfeiriad allanfa mewn gwlad rydych chi'n ei dewis.
Mae ei gwmpas yn fwriadol gul, yn gorchuddio pori Safari ynghyd â'r chwiliadau DNS a'r llwythi HTTP ansegur sy'n mynd gyda hi. Mae sesiwn terfynell, cleient post, ap sgwrsio a lansiwr gêm y tu allan iddo. Os yw gwiriad yn y Terfynell yn dal i ddangos cyfeiriad eich rhwydwaith mynediad tra bod Safari yn dangos cyfeiriad relé, dyna'r canlyniad disgwyliedig, nid gosodiad wedi torri.
Mae argaeledd yn amodol. Mae angen cynllun iCloud+, nid yw ar gael ym mhob rhanbarth, a gall rhwydwaith a reolir rwystro mynediad at y relé, ac yna mae Safari yn dychwelyd i gysylltiad uniongyrchol. Trosolwg Private Relay Apple yw'r cyfeiriad ar gyfer y cwmpas presennol. Pan fydd proffil VPN wedi'i gysylltu ac yn cario'r traffig hwnnw, nid yw'r relé yn cael ei bentyrru ar ei ben; y proffil sy'n penderfynu'r llwybr.
Darllenwch y dystiolaeth yn y drefn iawn
Dechreuwch â chyflwr y gwasanaeth, oherwydd dyma'r signal rhataf. Mae scutil --nc list yn argraffu'r gwasanaethau VPN a ffurfweddwyd ac a yw pob un wedi'i gysylltu. Gall proffil eistedd yno am flynyddoedd heb gysylltu erioed, ac mae pobl yn aml yn cyfrif hynny fel twnnel.
Yna edrychwch ar ryngwynebau a llwybrau. Mae ifconfig yn dangos rhyngwynebau utun, ond ychydig mae eu presenoldeb yn unig yn ei brofi, gan fod macOS yn defnyddio utun at sawl pwrpas y tu hwnt i VPN. Y peth sy'n bwysig yw a yw'r llwybr diofyn yn mynd i un ohonynt, y mae route -n get default yn ei adrodd.
Ar gyfer datrys enwau mae scutil --dns yn rhestru'r datryswyr y bydd y system yn eu defnyddio mewn gwirionedd, ac mae darparwr procsi DNS yn ymddangos yno. Mae cymharu dig +short example.com â dig +short example.com @1.1.1.1 yn gwahanu'r datryswr sy'n ateb oddi wrth y datryswr sy'n cael ei ryng-gipio.
Mae gweithgarwch estyniadau'n cyrraedd y log unedig: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Rydych chi'n chwilio am ba estyniad a gychwynnodd ac a wnaeth hidlydd adrodd dyfarniad ar y llif sy'n bwysig i chi, nid am linell i'w chofio.
Cyfyngwch y symptom cyn i chi analluogi unrhyw beth
Dosbarthwch y methiant yn gyntaf. Mae enw nad yw'n datrys, cysylltiad a wrthodwyd ar unwaith, a chysylltiad sy'n hongian tan derfyn amser yn dri arsylwad gwahanol â thri pherchennog gwahanol. Mae datrysiad yn cyfeirio at ddatryswr neu brocsi DNS. Mae gwrthodiad ar unwaith yn cyfeirio at reol hidlydd. Mae tawelwch fel arfer yn cyfeirio at lwybro, neu at dwnnel sydd i fyny ond nad yw'n anfon ymlaen.
Ar Mac a reolir, cymerwch yn ganiataol mai'r sefydliad sy'n berchen ar yr hidlydd. Mae ei analluogi i brofi'r VPN yn tynnu'r gydran roeddech chi'n ceisio ei harsylwi, ac mae MDM yn aml yn ei adfer ar y gwiriad nesaf. Gofynnwch i'r gweinyddwr am enw'r polisi cyn newid unrhyw beth, a phrofwch gyda'r ap penodol a fethodd yn hytrach na'r system gyfan.
Un trap arall: nid yw diffodd Private Relay i brofi VPN yn dweud dim wrthych am draffig tramor, oherwydd ni fuodd y relé byth yn gorchuddio'r traffig hwnnw. Rhaid profi pob haen ar yr ap y mae'n ei lywodraethu mewn gwirionedd.
Ewch drwy'r rhestr hon a stopiwch ar yr eitem gyntaf sy'n methu:
- A yw
scutil --nc listyn dangos y gwasanaeth rydych chi'n ei ddisgwyl fel un cysylltiedig? - A yw'r cyfeiriad cyhoeddus a welir o'r Terfynell yn wahanol i'r cyfeiriad a neilltuwyd gan eich rhwydwaith mynediad?
- A oes estyniad hidlo wedi'i osod, ac a gofnododd ddyfarniad ar gyfer y llif sy'n methu?
- Ai methiant Safari yn unig yw e? Os felly, gwiriwch gwmpas y relé cyn beio'r twnnel.
Os yw'r pedwar yn pasio ac mae'r ap yn dal i fethu, mae'r broblem uwchben haen y rhwydwaith: gosodiadau procsi, ymddiriedaeth tystysgrif, neu restr caniatáu ar lefel ap.