Macin VPN, sisältösuodatin vai Private Relay: mikä on käytössä
Kolmet Macin verkkokerrokset näyttävät Asetuksissa samalta. Erota VPN, sisältösuodatin ja Private Relay lähtöreitin, vuopolitiikan ja selauslaajuuden perusteella.
Macissasi voi olla samanaikaisesti asennettuna VPN-tunneli, sisältösuodatin ja iCloud Private Relay, eikä mikään niistä ilmoita, mikä niistä muovaa tiettyä yhteyttä. Asetuspaneelit näyttävät samanlaisilta, kuvakkeet näyttävät samanlaisilta ja lähes jokainen toimittaja kutsuu tuotettaan verkon turvallisuudeksi. Kolme tosiasiaa erottaa ne: kulkeeko liikenne etäpäätepisteen kautta, jonka voit nimetä, tekeekö politiikkamoottori yksittäisistä vuoista salli-tai-hylkää-päätöksiä, ja pysähtyykö suojaus Safariin. Kun nämä kolme ovat selvillä, useimmat onko-VPN-päällä-kysymykset vastaavat itse itsensä.
Kolme ehtoa, jotka tunnistavat komponentin
Ensimmäinen ehto on lähtö. Tunnelintarjoaja luovuttaa paketit etäyhdyskäytävälle, joten julkinen osoitteesi muuttuu ja, jos profiili niin sanoo, tuon yhdyskäytävän takana olevat isännät tulevat tavoitettaviksi. Jos osoite ei koskaan muutu eikä yhtään yksityistä aliverkkoa avaudu, et katsele toimivaa tunnelia, mitä tahansa valikkorivi väittää.
Toinen ehto on päätös. Sisältösuodatin arvioi vuot ja palauttaa salli tai hylkää. Se voi panna täytäntöön luokkarajauksen, sovelluskohtaisen säännön tai työnantajan lähettämän politiikan, ja se voi kirjata päätöksen. Sen, mitä se ei yksin pysty tekemään, on antaa liikenteelle paikka, johon mennä.
Kolmas ehto on laajuus. Private Relay suojaa määritellyn osan selailusta eikä koko laitetta, ja sen tehtävä on erottaa se, kuka olet, siitä, mitä käyt, ei sijoittaa sinua toiseen verkkoon.
Pane ne vierekkäin, niin rajoja on vaikea olla huomaamatta:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Sisältösuodatin on politiikkamoottori, ei lähtö
macOS:ssa suodatin saapuu Network Extensioninä, joka on rakennettu Applen suodattimen tietotarjoajaluokan NEFilterDataProvider päälle. Hallitussa käyttöönotossa MDM työntää sen, se asennetaan järjestelmän laajennuksena ja hyväksytään kerran kohdassa System Settings > General > Login Items and Extensions. Siitä lähtien se näkee TCP-vuot ja joissakin kokoonpanoissa myös UDP:n, ja palauttaa päätöksen jokaisesta.
Vikatapa on se, mikä hämmentää ihmisiä. Vuon hylkäävä suodatin tuottaa aikakatkaisun, jumiutuneen TLS-kättelyn tai nollauksen, joka näyttää täsmälleen tunnelilta, joka nousi pystyyn mutta ei saa liikennettä läpi. Julkinen osoite ei koskaan muuttunut, koska koskaan ei ollut lähtöä, joka olisi muuttanut sen.
Kaupalliset asiakasohjelmat kokoavat usein molemmat roolit. Yksi asennusohjelma tuo sekä tunnelintarjoajan että suodattimen, suodatin tekee eston ja tunneli tekee reitityksen. Sovelluksen nimi ei siis kerro sinulle mitään siitä, mikä komponentti kieltäytyi yhteydestä. Tarkista laajennusluettelo, sitten yhdistetty palvelu, sitten asiakasohjelman loki, tässä järjestyksessä.
Private Relay kattaa Safarin, ei konetta
Private Relay lähettää kattamansa selailun kahden eri osapuolten ylläpitämän välityspalvelimen kautta, joten yksikään operaattori ei pidä sekä henkilöllisyyttäsi että määränpäitäsi. Se on yksityisyysratkaisu, ei tunneli: ei ole porttia, johon mennä sisään, ei yksityistä aliverkkoa eikä tapaa kiinnittää lähtöosoitetta valitsemaasi maahan.
Sen laajuus on tarkoituksella kapea: se kattaa Safarin selailun sekä siihen kuuluvat DNS-kyselyt ja turvattomat HTTP-lataukset. Päätepaneeli-istunto, sähköpostiohjelma, chat-sovellus ja pelikäynnistin jäävät sen ulkopuolelle. Jos Päätepaneelissa tehty tarkistus näyttää yhä käyttöverkkosi osoitteen, kun Safari näyttää välityspalvelimen osoitteen, se on odotettu tulos, ei rikkinäinen asennus.
Saatavuus on ehdollista. Se vaatii iCloud+-tilauksen, sitä ei tarjota kaikilla alueilla, ja hallittu verkko voi estää välityspalvelimen käytön, jolloin Safari palaa suoraan yhteyteen. Applen Private Relay -yleiskatsaus on nykyisen laajuuden lähde. Kun VPN-profiili on yhdistetty ja kuljettaa tätä liikennettä, välityspalvelinta ei pinota sen päälle; profiili päättää reitin.
Lue todisteet oikeassa järjestyksessä
Aloita palvelun tilasta, koska se on halvin signaali. scutil --nc list tulostaa määritetyt VPN-palvelut ja sen, onko kukin yhdistetty. Profiili voi istua siinä vuosia koskaan yhdistymättä, ja ihmiset laskevat sen rutiininomaisesti tunneliksi.
Katso sitten liitäntöjä ja reittejä. ifconfig näyttää utun-liitännät, mutta niiden pelkkä olemassaolo todistaa vähän, koska macOS käyttää utunia useisiin tarkoituksiin VPN:n lisäksi. Ratkaisevaa on, osoittaako oletusreitti johonkin niistä, mitä route -n get default raportoi.
Nimien ratkaisua varten scutil --dns luettelee ratkaisijat, joita järjestelmä tosiasiallisesti käyttää, ja sinne ilmestyy DNS-välityspalveluntarjoaja. dig +short example.com -komennon vertaaminen komentoon dig +short example.com @1.1.1.1 erottaa vastaavan ratkaisijan siepatusta ratkaisijasta.
Laajennusten toiminta päätyy yhtenäiseen lokiin: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Etsit sitä, mikä laajennus käynnistyi ja ilmoittiko suodatin päätöksestä vuosta, joka sinua kiinnostaa, et riviä ulkoa opeteltavaksi.
Rajaa oire ennen kuin poistat mitään käytöstä
Luokittele vika ensin. Nimi, joka ei ratkea, heti hylätty yhteys ja aikakatkaisuun asti roikkuva yhteys ovat kolme eri havaintoa, joilla on kolme eri omistajaa. Ratkaisu viittaa ratkaisijaan tai DNS-välityspalvelimeen. Välitön hylkäys viittaa suodatinsääntöön. Hiljaisuus viittaa yleensä reititykseen tai tunneliin, joka on pystyssä mutta ei välitä.
Hallitussa Macissa oleta, että suodatin kuuluu organisaatiolle. Sen poistaminen käytöstä VPN:n testaamiseksi poistaa komponentin, jota yritit havainnoida, ja MDM palauttaa sen usein seuraavassa tarkistuksessa. Kysy järjestelmänvalvojalta politiikan nimi ennen kuin muutat mitään, ja testaa sillä tietyllä sovelluksella, joka epäonnistui, älä koko järjestelmällä.
Vielä yksi ansa: Private Relayn sammuttaminen VPN:n testaamiseksi ei kerro mitään ulkomaisesta liikenteestä, koska välityspalvelin ei koskaan kattanut sitä liikennettä. Jokainen kerros on testattava sovelluksessa, jota se tosiasiassa ohjaa.
Käy tämä luettelo läpi ja pysähdy ensimmäiseen kohtaan, joka epäonnistuu:
- Näyttääkö
scutil --nc listodottamasi palvelun yhdistettynä? - Eroaako Päätepaneelista nähty julkinen osoite osoitteesta, jonka käyttöverkkosi antoi?
- Onko suodatinlaajennus asennettu, ja kirjasiko se päätöksen epäonnistuvasta vuosta?
- Onko vika vain Safarissa? Jos on, tarkista välityspalvelimen laajuus ennen kuin syytät tunnelia.
Jos kaikki neljä menevät läpi ja sovellus epäonnistuu silti, ongelma on verkkokerroksen yläpuolella: välityspalvelinasetukset, varmenteen luottamus tai sovellustason sallittujen luettelo.