Mac VPN, eduki-iragazkia edo Private Relay: zein dago aktibo
Mac-eko hiru sare-geruza berdinak dirudite Ezarpenetan. Bereizi VPN bat, eduki-iragazki bat eta Private Relay irteera-bidea, fluxu-politika eta nabigazio-esparrua erabiliz.
Zure Mac-ek VPN tunel bat, eduki-iragazki bat eta iCloud Private Relay aldi berean instalatuta izan ditzake, eta horietako batek ere ez du iragartzen zeinek ematen dion forma konexio jakin bati. Ezarpenen panelek antzeko itxura dute, ikonoek antzeko itxura dute, eta ia hornitzaile guztiek sare-segurtasuna deitzen diote beren produktuari. Hiru egitatek bereizten dituzte: trafikoak izenda dezakezun urruneko mutur batetik ateratzen den, politika-motor batek fluxu banakakoetan baimendu-alainbidetu erabakiak hartzen dituen, eta babesak Safari-n amaitzen duen. Hirurok argi badituzu, nire VPN-a piztuta dago-en galdera gehienek beren kabuz erantzuten dute.
Osagaia identifikatzen duten hiru baldintza
Lehen baldintza irteera da. Tunel-hornitzaile batek paketeak urruneko atebide bati ematen dizkio, beraz zure helbide publikoa aldatzen da eta, profilean horrela badio, atebide horren atzeko ostalariak irisgarri bihurtzen dira. Helbidea inoiz aldatzen ez bada eta sare azpiko pribaturik irekitzen ez bada, ez zaude tunel funtzional bati begira, menu-barrari edozer esan arren.
Bigarren baldintza erabakia da. Eduki-iragazki batek fluxuak ebaluatzen ditu eta baimendu edo alainbidetu itzultzen du. Kategoria-blokeo bat, aplikazioko arau bat edo enpresaburuak bidalitako politika bat betearaz dezake, eta epaia erregistra dezake. Bere kabuz egin ezin duena trafikoari norabidea ematea da.
Hirugarren baldintza esparrua da. Private Relay-k nabigazioaren zati zehatz bat babesten du, ez gailu osoa, eta bere lana zu nor zaren eta bisitatzen duzuna bereiztea da, ez zu beste sare batean jartzea.
Jarri hirurak elkarren ondoan eta mugak zail dira ez ikusten:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Eduki-iragazkia politika-motorra da, ez irteera
macOS-en iragazki bat Network Extension gisa iristen da, Apple-ren iragazki-datuen hornitzaile klasean oinarrituta, NEFilterDataProvider. Kudeatutako hedapen batean MDM-k bultzatzen du, sistemako luzapen gisa instalatzen da eta behin onartzen da System Settings > General > Login Items and Extensions atalean. Harrezkero TCP fluxuak ikusten ditu, eta zenbait konfiguraziotan UDP ere bai, eta bakoitzari buruz epai bat itzultzen du.
Huts-egiteko modua da jendea nahasten duena. Fluxu bat alainbidetzen duen iragazki batek denbora-muga bat, blokeatutako TLS eskua-ematea edo berrezarpen bat sortzen du, eta horrek trafikoa pasatu ezin duen altxatutako tunel baten itxura zehatza du. Helbide publikoa ez zen inoiz aldatu, ez zegoelako hura aldatzeko irteerarik.
Bezero komertzialek bi rolak bateratzen dituzte askotan. Instalatzaile bakar batek tunel-hornitzailea eta iragazkia ekartzen ditu, iragazkiak blokeoa egiten du eta tunelak bideratzea. Beraz, aplikazioaren izenak ez dizu ezer esaten konexioari uko egin zion osagaiari buruz. Egiaztatu luzapenen zerrenda, gero konektatutako zerbitzua, gero bezeroaren erregistroa, ordena horretan.
Private Relay-k Safari estaltzen du, ez makina
Private Relay-k estaltzen duen nabigazioa alderdi bereiziek kudeatutako bi errelebar barrena bidaltzen du, beraz eragile bakar batek ere ez ditu zure identitatea eta helmugak batera edukitzen. Pribatutasun-diseinua da, ez tunela: ez dago sartzeko atebiderik, ez sare azpiko pribaturik, eta ez dago aukeratzen duzun herrialde batean irteera-helbide bat finkatzeko modurik.
Bere esparrua nahita estua da: Safari-ko nabigazioa estaltzen du, harekin batera doazen DNS kontsultak eta HTTP karga ez-seguruak barne. Terminal saio bat, posta-bezero bat, txat aplikazio bat eta jokoen abiarazle bat kanpoan geratzen dira. Terminalean egindako egiaztapen batek zure sarbide-sareko helbidea erakusten badu oraindik Safari-k errele-helbide bat erakusten duen bitartean, hori da espero den emaitza, ez instalazio hautsia.
Erabilgarritasuna baldintzapekoa da. iCloud+ plan bat behar du, ez da eskualde guztietan eskaintzen, eta kudeatutako sare batek errelebaren sarbidea blokea dezake; kasu horretan Safari-k zuzeneko konexiora jotzen du. Apple-ren Private Relay-ren ikuspegi orokorra da egungo esparruaren erreferentzia. VPN profil bat konektatuta dagoenean eta trafiko hori daramanean, errelea ez da haren gainean pilatzen; profileak erabakitzen du bidea.
Irakurri frogak ordena egokian
Hasi zerbitzuaren egoerarekin, seinalerik merkeena delako. scutil --nc list-ek konfiguratutako VPN zerbitzuak eta bakoitza konektatuta dagoen inprimatzen du. Profil bat bertan egon daiteke urteetan inoiz konektatu gabe, eta jendeak errutinaz tuneltzat hartzen du.
Gero begiratu interfazeak eta bideak. ifconfig-ek utun interfazeak erakusten ditu, baina haien presentziak gutxi frogatzen du bere horretan, macOS-ek utun VPNaz haragoko hainbat helburutarako erabiltzen baitu. Garrantzitsua da bide lehenetsia horietako batera doan, route -n get default-ek jakinarazten duena.
Izenen ebazpenerako scutil --dns-ek sistemak benetan erabiliko dituen ebazleak zerrendatzen ditu, eta han DNS proxy hornitzaile bat agertzen da. dig +short example.com eta dig +short example.com @1.1.1.1 alderatzeak erantzuten duen ebazlea atzematen ari den ebazletik bereizten du.
Luzapenen jarduera erregistro bateratura iristen da: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Zein luzapen hasi zen eta iragazki batek zuri axola zaizun fluxuaz epaia jakinarazi zuen bilatzen ari zara, ez buruz ikasteko lerro bat.
Mugatu sintoma ezer desgaitu aurretik
Sailkatu lehenik hutsegitea. Ebazten ez den izen bat, berehala ukatutako konexio bat eta denbora-mugaraino zintzilik geratzen den konexio bat hiru behaketa desberdin dira, hiru erantzule desberdinekin. Ebazpenak ebazle edo DNS proxy batera eramaten du. Berehalako ukapenak iragazki-arau batera eramaten du. Isiltasunak normalean bideratzea edo altxatuta baina birbidaltzen ez duen tunel bat seinalatzen du.
Kudeatutako Mac batean, suposatu iragazkia erakundearena dela. VPN-a probatzeko desgaitzeak behatu nahi zenuen osagaia kentzen du, eta MDM-k hurrengo egiaztapenean berrezartzen du sarritan. Galdetu administratzaileari politikaren izena ezer aldatu aurretik, eta probatu huts egin zuen aplikazio zehatzarekin, sistema osoaren ordez.
Beste tranpa bat: Private Relay itzaltzeak VPN bat probatzeko ez du ezer esaten kanpoko trafikoaz, erreleak sekula ez baitzuen trafiko hori estali. Geruza bakoitza benetan gobernatzen duen aplikazioan probatu behar da.
Egin zerrenda hau eta gelditu huts egiten duen lehen elementuan:
scutil --nc list-ek espero duzun zerbitzua konektatuta erakusten du?- Terminaletik ikusten den helbide publikoa zure sarbide-sareak emandako helbidearen desberdina da?
- Iragazki-luzapen bat instalatuta dago, eta huts egiten duen fluxuaz epaia erregistratu zuen?
- Hutsegitea Safari-n soilik da? Hala bada, egiaztatu errelebaren esparrua tunela erruduntzen hasi aurretik.
Laurak pasatzen badira eta aplikazioak huts egiten jarraitzen badu, arazoa sare-geruzaren gainetik dago: proxy ezarpenak, ziurtagirien konfiantza edo aplikazio-mailako baimen-zerrenda bat.