Mac-VPN, ynhâldsfilter of Private Relay: hokker is aktyf
Trije netwurkleagen fan 'e Mac lykje yn Ynstellingen itselde. Untskiede in VPN, in ynhâldsfilter en Private Relay oan 'e útgongspaad, it streambelied en de browsmfang.
Jo Mac kin tagelyk in VPN-tunnel, in ynhâldsfilter en iCloud Private Relay ynstalleare hawwe, en net ien fan harren fertelt hokker in beskate ferbining foarmjout. De ynstellingspanelen lykje itselde, de byldkaikes lykje itselde, en hast elke leveransier neamt syn produkt netwurkfeiligens. Trije feiten skiede se: oft ferkear fia in ôfstânseinpunt dêr't jo de namme fan witte kinne fuortgiet, oft in beliedsmotor besluten tastean-of-ôfwize nimt oer yndividuele streamen, en oft de beskerming by Safari ophâldt. Krij dy trije rjocht en de measte fragen fan is-myn-VPN-oan beäntwurdzje harsels.
Trije betingsten dy't it ûnderdiel identifisearje
Betingst ien is de útgong. In tunnelleveransier jout pakketten oan in ôfstânspoarte, sadat jo iepenbiere adres feroaret en, as it profyl dat seit, hosts efter dy poarte berikber wurde. Feroaret it adres nea en iepenet der gjin privee subnet, dan sjogge jo gjin wurkjende tunnel, wat de menubalke ek seit.
Betingst twa is it beslút. In ynhâldsfilter beöardielet streamen en jout tastean of ôfwize werom. It kin in kategoryblokkade, in regel per applikaasje of in belied dat in wurkjouwer stjoerd hat hanthavenje, en it kin it oardiel logge. Wat it op himsels net kin, is it ferkear in plak jaan om hinne te gean.
Betingst trije is de omfang. Private Relay beskermet in ôfbeakene part fan it browsen ynstee fan in hiel apparaat, en syn taak is om wa't jo binne te skieden fan wat jo besykje, net om jo op in oar netwurk te pleatsen.
Set se njonkeninoar en de grinzen binne hast net te missen:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
In ynhâldsfilter is in beliedsmotor, gjin útgong
Op macOS komt in filter as in Network Extension boud op 'e filtergegevensleveransiersklasse fan Apple, NEFilterDataProvider. Yn in beheard útrôljen wurdt it troch MDM skood, as systeemútwreiding ynstalleare en ien kear goedkard ûnder System Settings > General > Login Items and Extensions. Fan dan ôf sjocht it TCP-streamen, en yn guon konfiguraasjes ek UDP, en jout it foar elk in oardiel werom.
De flaterwize is wat minsken yn 'e war bringt. In filter dat in stream ôfwiist, makket in tiidferrin, in fêstrûne TLS-hânskodding of in weromset, dat der krekt útsjocht as in tunnel dy't omheech stiet mar gjin ferkear trochlitte kin. It iepenbiere adres feroare nea, om't der nea in útgong wie om it te feroarjen.
Kommersjele kliïnten bondelje faak beide rollen. Ien ynstallearder leveret in tunnelleveransier en in filter, it filter docht it blokkearjen en de tunnel docht it rûtelearjen. Sa seit de applikaasjenamme jo neat oer hokker ûnderdiel de ferbining wegere. Kontrolearje de útwreidingslist, dan de ferbûne tsjinst, dan it kliïntloch, yn dy folchoarder.
Private Relay beslacht Safari, net de masine
Private Relay stjoert it browsen dat it beslacht fia twa relais dy't troch skate partijen betsjinne wurde, sadat gjin inkelde operator sawol jo identiteit as jo bestimmingen hat. Dat is in privacy-ûntwerp, gjin tunnel: der is gjin poarte om yn te gean, gjin privee subnet, en gjin manier om in útgongsadres fêst te setten yn in lân dat jo kieze.
Syn omfang is bewust smel, en beslacht Safari-browsen tegearre mei de DNS-opsykjes en ûnfeilige HTTP-ladingen dy't dêrby hearre. In terminalsesje, in e-postkliïnt, in chatapp en in spyllanseearder steane derbûten. As in kontrôle yn Terminal noch it adres fan jo tagongsnetwurk sjen lit wylst Safari in relaisadres sjen lit, dan is dat it ferwachte resultaat, gjin stikken ynstallaasje.
Beskikberens is betingst. It freget in iCloud+-plan, it wurdt net yn elke regio oanbean, en in beheard netwurk kin relais tagong blokkearje, wêrnei Safari werom falt op in direkte ferbining. It oersjoch fan Private Relay fan Apple is de referinsje foar de hjoeddeiske omfang. As in VPN-profyl ferbûn is en dat ferkear draacht, wurdt it relais net boppe-op steapele; it profyl beslút it paad.
Lês it bewiis yn 'e juste folchoarder
Begjin mei de tsjinststatus, want dat is it goedkeapste sinjaal. scutil --nc list printet de konfigurearre VPN-tsjinsten en oft elk ferbûn is. In profyl kin dêr jierren stean sûnder ea ferbûn te wurden, en minsken rekkenje dat geregeldwei as in tunnel.
Sjoch dan nei ynterfaces en rûtes. ifconfig lit utun-ynterfaces sjen, mar har oanwêzigens bewiist op himsels net folle, om't macOS utun foar ferskate doelen bûten VPN brûkt. Wat fan belang is, is oft de standertrûte yn ien fan harren wiist, wat route -n get default rapportearret.
Foar namme-oplossing listet scutil --dns de resolvers op dy't it systeem echt brûke sil, en dêr ferskynt in DNS-proxyleveransier. It fergelykjen fan dig +short example.com mei dig +short example.com @1.1.1.1 skiedt de resolver dy't antwurdet fan de resolver dy't ûnderskept wurdt.
Útwreidingsaktiviteit berikt it feriene loch: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Jo sykje hokker útwreiding begûn en oft in filter in oardiel oer de stream meldde dy't jo oanbelanget, net in rigel om te ûnthâlden.
Meitsje it symptoom smeller foar't jo wat útskeakelje
Klassifisearje earst de flater. In namme dy't net oplost, in ferbining dy't fuortendaliks wegere wurdt, en in ferbining dy't hingje bliuwt oant de tiidferrin binne trije ferskillende waarnimmings mei trije ferskillende eigners. Oplossing wiist op in resolver of DNS-proxy. Fuortendaliks wegering wiist op in filterregel. Stilte wiist meast op rûtelearjen, of op in tunnel dy't omheech stiet mar net trochstjoert.
Op in beheard Mac moatte jo oannimme dat it filter fan 'e organisaasje is. It útskeakelje om de VPN te testen hellet it ûnderdiel fuort dat jo observearje woene, en MDM set it faak by de folgjende kontrôle werom. Freegje de behearder om de beliedsnamme foar't jo wat feroarje, en test mei de spesifike applikaasje dy't mislearre, net mei it hiele systeem.
Noch in falstrik: Private Relay útsette om in VPN te testen seit neat oer bûtenlânsk ferkear, om't it relais dat ferkear nea besloech. Eltse laach moat test wurde yn 'e applikaasje dy't it echt bestjoert.
Wurkje dizze list troch en stop by it earste item dat mislearret:
- Lit
scutil --nc listde tsjinst sjen dy't jo ferwachtsje as ferbûn? - Ferskilt it iepenbiere adres dat jo fan Terminal ôf sjogge fan it adres dat jo tagongsnetwurk tawiisde?
- Is der in filterútwreiding ynstalleare, en hat dy in oardiel logge foar de stream dy't mislearret?
- Is de flater allinnich yn Safari? As dat sa is, kontrolearje dan de omfang fan it relais foar't jo de tunnel de skuld jouwe.
As alle fjouwer slagje en de applikaasje mislearret noch, dan sit it probleem boppe de netwurklaach: proxy-ynstellingen, sertifikaatfertrouwen of in tastiene list op applikaasjenivo.