VPN Mac, φίλτρο περιεχομένου ή Private Relay: ποιο είναι ενεργό

Το Mac σας μπορεί να έχει ταυτόχρονα εγκατεστημένα μια σήραγγα VPN, ένα φίλτρο περιεχομένου και το iCloud Private Relay, και κανένα από αυτά δεν ανακοινώνει ποιο διαμορφώνει μια δεδομένη σύνδεση. Τα παράθυρα ρυθμίσεων μοιάζουν, τα εικονίδια μοιάζουν, και σχεδόν κάθε κατασκευαστής αποκαλεί το προϊόν του ασφάλεια δικτύου. Τρία γεγονότα τα ξεχωρίζουν: αν η κίνηση φεύγει από ένα απομακρυσμένο σημείο που μπορείτε να ονομάσετε, αν μια μηχανή πολιτικής αποφασίζει επιτρέπω-ή-απορρίπτω σε μεμονωμένες ροές, και αν η προστασία σταματά στο Safari. Τακτοποιήστε αυτά τα τρία και οι περισσότερες ερωτήσεις του τύπου είναι-ενεργό-το-VPN-μου απαντιούνται μόνες τους.

Τρεις συνθήκες που αναγνωρίζουν το στοιχείο

Η πρώτη συνθήκη είναι η έξοδος. Ένας πάροχος σήραγγας παραδίδει τα πακέτα σε μια απομακρυσμένη πύλη, οπότε η δημόσια διεύθυνσή σας αλλάζει και, αν το προφίλ το ορίζει, οι υπολογιστές πίσω από αυτή την πύλη γίνονται προσβάσιμοι. Αν η διεύθυνση δεν αλλάζει ποτέ και δεν ανοίγει κανένα ιδιωτικό υποδίκτυο, δεν κοιτάτε μια λειτουργική σήραγγα, ό,τι κι αν λέει η γραμμή μενού.

Η δεύτερη συνθήκη είναι η απόφαση. Ένα φίλτρο περιεχομένου αξιολογεί ροές και επιστρέφει επιτρέπω ή απορρίπτω. Μπορεί να επιβάλει αποκλεισμό κατηγορίας, κανόνα ανά εφαρμογή ή πολιτική που έστειλε εργοδότης, και μπορεί να καταγράψει την ετυμηγορία. Αυτό που δεν μπορεί μόνο του είναι να δώσει στην κίνηση κάπου να πάει.

Η τρίτη συνθήκη είναι το εύρος. Το Private Relay προστατεύει ένα καθορισμένο κομμάτι περιήγησης και όχι ολόκληρη συσκευή, και το έργο του είναι να χωρίζει το ποιος είστε από το τι επισκέπτεστε, όχι να σας τοποθετήσει σε άλλο δίκτυο.

Βάλτε τα τρία δίπλα-δίπλα και τα όρια δύσκολα ξεφεύγουν:

Ένα φίλτρο περιεχομένου είναι μηχανή πολιτικής, όχι έξοδος

Στο macOS ένα φίλτρο φτάνει ως Network Extension χτισμένο στην κλάση παρόχου δεδομένων φιλτραρίσματος της Apple, NEFilterDataProvider. Σε διαχειριζόμενη ανάπτυξη το σπρώχνει το MDM, εγκαθίσταται ως επέκταση συστήματος και εγκρίνεται μία φορά στις Ρυθμίσεις Συστήματος > Γενικά > Στοιχεία σύνδεσης και επεκτάσεις. Από εκεί και πέρα βλέπει ροές TCP, και σε ορισμένες ρυθμίσεις και UDP, και επιστρέφει ετυμηγορία για καθεμία.

Ο τρόπος αποτυχίας είναι αυτό που μπερδεύει τον κόσμο. Ένα φίλτρο που απορρίπτει μια ροή παράγει λήξη χρόνου, κολλημένη χειραψία TLS ή επαναφορά, που μοιάζει ακριβώς με σήραγγα που σηκώθηκε αλλά δεν περνά κίνηση. Η δημόσια διεύθυνση δεν άλλαξε ποτέ, γιατί δεν υπήρχε ποτέ έξοδος να την αλλάξει.

Οι εμπορικοί πελάτες συχνά συνδυάζουν και τους δύο ρόλους. Ένας εγκαταστάτης φέρνει πάροχο σήραγγας και φίλτρο, το φίλτρο κάνει τον αποκλεισμό και η σήραγγα κάνει τη δρομολόγηση. Άρα το όνομα της εφαρμογής δεν σας λέει τίποτα για το ποιο στοιχείο αρνήθηκε τη σύνδεση. Ελέγξτε τη λίστα επεκτάσεων, μετά τη συνδεδεμένη υπηρεσία, μετά το αρχείο καταγραφής του πελάτη, με αυτή τη σειρά.

Το Private Relay καλύπτει το Safari, όχι το μηχάνημα

Το Private Relay στέλνει την περιήγηση που καλύπτει μέσα από δύο ρελέ που λειτουργούν διαφορετικοί φορείς, ώστε κανένας μεμονωμένος φορέας να μην κρατά και την ταυτότητά σας και τους προορισμούς σας. Αυτό είναι σχεδιασμός ιδιωτικότητας, όχι σήραγγα: δεν υπάρχει πύλη για να μπεις, κανένα ιδιωτικό υποδίκτυο, και κανένας τρόπος να καρφιτσώσεις διεύθυνση εξόδου σε χώρα που διαλέγεις.

Το εύρος του είναι σκόπιμα στενό, καλύπτοντας την περιήγηση στο Safari μαζί με τις αναζητήσεις DNS και τις μη ασφαλείς φορτώσεις HTTP που τη συνοδεύουν. Μια συνεδρία τερματικού, ένας πελάτης αλληλογραφίας, μια εφαρμογή συνομιλίας και ένας εκκινητής παιχνιδιών μένουν απέξω. Αν ένας έλεγχος στο Τερματικό δείχνει ακόμη τη διεύθυνση του δικτύου πρόσβασής σας ενώ το Safari δείχνει διεύθυνση ρελέ, αυτό είναι το αναμενόμενο αποτέλεσμα, όχι σπασμένη εγκατάσταση.

Η διαθεσιμότητα είναι υπό όρους. Απαιτεί πρόγραμμα iCloud+, δεν προσφέρεται σε κάθε περιοχή, και ένα διαχειριζόμενο δίκτυο μπορεί να μπλοκάρει την πρόσβαση στο ρελέ, οπότε το Safari πέφτει σε άμεση σύνδεση. Η επισκόπηση του Private Relay από την Apple είναι η αναφορά για το τρέχον εύρος. Όταν ένα προφίλ VPN είναι συνδεδεμένο και μεταφέρει αυτή την κίνηση, το ρελέ δεν στοιβάζεται από πάνω του· το προφίλ καθορίζει τη διαδρομή.

Διαβάστε τα στοιχεία με τη σωστή σειρά

Ξεκινήστε από την κατάσταση της υπηρεσίας, γιατί είναι το φθηνότερο σήμα. Το scutil --nc list εκτυπώνει τις ρυθμισμένες υπηρεσίες VPN και αν καθεμία είναι συνδεδεμένη. Ένα προφίλ μπορεί να κάθεται εκεί για χρόνια χωρίς ποτέ να συνδεθεί, και ο κόσμος το μετρά τακτικά ως σήραγγα.

Μετά κοιτάξτε διασυνδέσεις και διαδρομές. Το ifconfig δείχνει διασυνδέσεις utun, αλλά η παρουσία τους μόνη της αποδεικνύει λίγα, αφού το macOS χρησιμοποιεί utun για αρκετούς σκοπούς πέρα από VPN. Αυτό που μετρά είναι αν η προεπιλεγμένη διαδρομή δείχνει σε μία από αυτές, κάτι που αναφέρει το route -n get default.

Για την επίλυση ονομάτων το scutil --dns απαριθμεί τους resolver που θα χρησιμοποιήσει πραγματικά το σύστημα, και εκεί εμφανίζεται ένας πάροχος διακομιστή μεσολάβησης DNS. Η σύγκριση του dig +short example.com με το dig +short example.com @1.1.1.1 χωρίζει τον resolver που απαντά από τον resolver που υποκλέπτεται.

Η δραστηριότητα των επεκτάσεων φτάνει στο ενοποιημένο αρχείο καταγραφής: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Ψάχνετε ποια επέκταση ξεκίνησε και αν ένα φίλτρο ανέφερε ετυμηγορία για τη ροή που σας απασχολεί, όχι μια γραμμή για απομνημόνευση.

Περιορίστε το σύμπτωμα πριν απενεργοποιήσετε οτιδήποτε

Ταξινομήστε πρώτα την αποτυχία. Ένα όνομα που δεν επιλύεται, μια σύνδεση που απορρίπτεται αμέσως και μια σύνδεση που κρέμεται μέχρι τη λήξη χρόνου είναι τρεις διαφορετικές παρατηρήσεις με τρεις διαφορετικούς υπευθύνους. Η επίλυση δείχνει resolver ή διακομιστή μεσολάβησης DNS. Η άμεση άρνηση δείχνει κανόνα φίλτρου. Η σιωπή συνήθως δείχνει δρομολόγηση, ή σήραγγα που είναι πάνω αλλά δεν προωθεί.

Σε διαχειριζόμενο Mac, υποθέστε ότι το φίλτρο ανήκει στον οργανισμό. Η απενεργοποίησή του για να δοκιμάσετε το VPN αφαιρεί το στοιχείο που θέλατε να παρατηρήσετε, και το MDM συχνά το επαναφέρει στον επόμενο έλεγχο. Ζητήστε το όνομα της πολιτικής από τον διαχειριστή πριν αλλάξετε οτιδήποτε, και δοκιμάστε με τη συγκεκριμένη εφαρμογή που απέτυχε αντί για όλο το σύστημα.

Μια ακόμη παγίδα: το να σβήσετε το Private Relay για να δοκιμάσετε ένα VPN δεν λέει τίποτα για ξένη κίνηση, γιατί το ρελέ δεν κάλυπτε ποτέ αυτή την κίνηση. Κάθε επίπεδο πρέπει να δοκιμάζεται στην εφαρμογή που πραγματικά ελέγχει.

Δουλέψτε αυτή τη λίστα και σταματήστε στο πρώτο σημείο που αποτυγχάνει:

• Δείχνει το scutil --nc list την υπηρεσία που περιμένετε ως συνδεδεμένη;
• Διαφέρει η δημόσια διεύθυνση που βλέπετε από το Τερματικό από τη διεύθυνση που έδωσε το δίκτυο πρόσβασής σας;
• Είναι εγκατεστημένη κάποια επέκταση φίλτρου, και κατέγραψε ετυμηγορία για τη ροή που αποτυγχάνει;
• Η αποτυχία είναι μόνο στο Safari; Αν ναι, ελέγξτε το εύρος του ρελέ πριν κατηγορήσετε τη σήραγγα.

Αν περνούν και τα τέσσερα και η εφαρμογή εξακολουθεί να αποτυγχάνει, το πρόβλημα βρίσκεται πάνω από το επίπεδο δικτύου: ρυθμίσεις διακομιστή μεσολάβησης, εμπιστοσύνη πιστοποιητικών ή λίστα επιτρεπόμενων σε επίπεδο εφαρμογής.