Maci VPN, sisufilter või Private Relay: milline on aktiivne
Kolm Maci võrgukihti näevad Seadetes ühesugused välja. Eristage VPN-i, sisufiltrit ja Private Relayd väljumistee, voolupoliitika ja sirvimisulatuse järgi.
Sinu Macis võib korraga olla paigaldatud VPN-tunnel, sisufilter ja iCloud Private Relay, ja ükski neist ei teata, milline neist kujundab antud ühendust. Seadete paneelid näevad sarnased välja, ikoonid näevad sarnased välja ja peaaegu iga tarnija nimetab oma toodet võrgu turvalisuseks. Kolm fakti eristavad neid: kas liiklus väljub kaugpunkti kaudu, millele saad nime anda, kas poliitikamootor teeb üksikute voogude puhul luba-või-viska otsuseid, ja kas kaitse lõpeb Safaris. Kui need kolm selgeks saad, vastavad enamik küsimusi tüübi kas-minu-VPN-on-sees ise.
Kolm tingimust, mis komponendi tuvastavad
Esimene tingimus on väljumine. Tunneliteenuse pakkuja annab paketid üle kaugväravale, nii et sinu avalik aadress muutub ja, kui profiil seda ütleb, muutuvad selle värava taga olevad hostid kättesaadavaks. Kui aadress ei muutu kunagi ja ükski privaatne alamvõrk ei avane, ei vaata sa töötavat tunnelit, ükskõik mida menüüriba ütleb.
Teine tingimus on otsus. Sisufilter hindab voogusid ja tagastab luba või viska. See võib jõustada kategooria blokeeringu, rakendusepõhise reegli või tööandja saadetud poliitika, ja see võib otsuse logida. Mida see ise teha ei saa, on anda liiklusele koht, kuhu minna.
Kolmas tingimus on ulatus. Private Relay kaitseb määratletud osa sirvimisest, mitte tervet seadet, ja selle ülesanne on eraldada, kes sa oled, sellest, mida sa külastad, mitte paigutada sind teise võrku.
Pane need kõrvuti ja piire on raske mööda vaadata:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Sisufilter on poliitikamootor, mitte väljumine
macOS-is saabub filter Network Extensionina, mis on ehitatud Apple'i filtriandmete pakkuja klassile NEFilterDataProvider. Hallatud juurutuses lükkab selle peale MDM, see paigaldatakse süsteemilaiendina ja kinnitatakse üks kord jaotises System Settings > General > Login Items and Extensions. Sealt edasi näeb see TCP-voogusid ja mõnes konfiguratsioonis ka UDP-d ning tagastab igaühe kohta otsuse.
Rikkeviis on see, mis inimesi segadusse ajab. Voogu viskav filter tekitab ajalõpu, takerdunud TLS-kätluse või lähtestuse, mis näeb täpselt välja nagu tunnel, mis tõusis üles, aga ei suuda liiklust läbi lasta. Avalik aadress ei muutunud kunagi, sest polnud kunagi väljumist, mis seda muudaks.
Kommertsliidestused koondavad sageli mõlemad rollid. Üks paigaldaja toob tunneliteenuse pakkuja ja filtri, filter teeb blokeerimise ja tunnel teeb marsruutimise. Nii et rakenduse nimi ei ütle sulle midagi selle kohta, milline komponent ühendusest keeldus. Kontrolli laiendite loendit, siis ühendatud teenust, siis kliendi logi, selles järjekorras.
Private Relay katab Safari, mitte masina
Private Relay saadab kaetava sirvimise läbi kahe relee, mida haldavad erinevad osapooled, nii et ükski üksikoperaator ei hoia korraga nii sinu identiteeti kui ka sihtkohti. See on privaatsusdisain, mitte tunnel: pole väravat, kuhu sisse minna, pole privaatset alamvõrku ja pole viisi, kuidas kinnitada väljumisaadress riiki, mille ise valid.
Selle ulatus on meelega kitsas, kattes Safari sirvimise koos sellega kaasnevate DNS-päringute ja ebaturvaliste HTTP-laadimistega. Terminaliseanss, meilikklient, vestlusrakendus ja mängukäivitaja jäävad sellest välja. Kui Terminalis tehtud kontroll näitab endiselt sinu juurdepääsuvõrgu aadressi, samal ajal kui Safari näitab relee aadressi, on see oodatud tulemus, mitte katkine paigaldus.
Saadavus on tingimuslik. See nõuab iCloud+ paketti, seda ei pakuta igas piirkonnas ja hallatud võrk võib relee juurdepääsu blokeerida, mille korral Safari läheb tagasi otseühendusele. Apple'i Private Relay ülevaade on praeguse ulatuse viide. Kui VPN-profiil on ühendatud ja seda liiklust kannab, ei kuhjata releed selle peale; tee otsustab profiil.
Loe tõendeid õiges järjekorras
Alusta teenuse olekust, sest see on odavaim signaal. scutil --nc list trükib konfigureeritud VPN-teenused ja selle, kas igaüks on ühendatud. Profiil võib seal aastaid seista, ilma et seda kunagi ühendataks, ja inimesed loevad seda rutiinselt tunneliks.
Seejärel vaata liideseid ja marsruute. ifconfig näitab utun-liideseid, kuid nende olemasolu üksi tõestab vähe, sest macOS kasutab utuni mitmel otstarbel peale VPN-i. Tähtis on, kas vaikemarsruut osutab mõnele neist, mida teatab route -n get default.
Nimelahenduse jaoks loetleb scutil --dns resolverid, mida süsteem tegelikult kasutab, ja sinna ilmub DNS-puhverserveri pakkuja. dig +short example.com ja dig +short example.com @1.1.1.1 võrdlemine eraldab vastava resolveri sellest, mida pealt kuulatakse.
Laiendite tegevus jõuab ühtsesse logisse: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Sa otsid, milline laiend algas ja kas filter teatas otsusest selle voo kohta, mis sind huvitab, mitte rida, mida pähe õppida.
Ahenda sümptomit enne, kui midagi välja lülitad
Klassifitseeri esmalt rike. Nimi, mida ei lahendata, kohe tagasi lükatud ühendus ja ajutõkkeni rippuma jääv ühendus on kolm erinevat tähelepanekut kolme erineva omanikuga. Lahendamine osutab resolverile või DNS-puhverserverile. Kohene keeldumine osutab filtrite reeglile. Vaikus osutab tavaliselt marsruutimisele või tunnelile, mis on üleval, aga ei edasta.
Hallatud Maci puhul eelda, et filter kuulub organisatsioonile. Selle väljalülitamine VPN-i testimiseks eemaldab komponendi, mida sa tahtsid jälgida, ja MDM taastab selle sageli järgmisel kontrollil. Küsi administraatorilt poliitika nime enne, kui midagi muudad, ja testi konkreetse rakendusega, mis ebaõnnestus, mitte kogu süsteemiga.
Veel üks lõks: Private Relay väljalülitamine VPN-i testimiseks ei ütle välisliikluse kohta midagi, sest relee ei katnud seda liiklust kunagi. Iga kihti tuleb testida rakenduses, mida see tegelikult juhib.
Käi see loend läbi ja peatu esimesel punktil, mis ebaõnnestub:
- Kas
scutil --nc listnäitab oodatud teenust ühendatuna? - Kas Terminalist nähtav avalik aadress erineb aadressist, mille sinu juurdepääsuvõrk määras?
- Kas filtrilaiend on paigaldatud ja kas see logis otsuse ebaõnnestuva voo kohta?
- Kas rike on ainult Safari puhul? Kui jah, kontrolli relee ulatust enne, kui tunnelit süüdistad.
Kui kõik neli läbivad ja rakendus ikka ebaõnnestub, on probleem võrgukihist kõrgemal: puhverserveri seaded, sertifikaadi usaldus või rakendusetasandi lubatud loend.