Mac VPN, કન્ટેન્ટ ફિલ્ટર કે Private Relay: કયું સક્રિય છે
Mac ના ત્રણ નેટવર્ક સ્તરો Settings માં એકસરખા દેખાય છે. એક્ઝિટ પાથ, ફ્લો નીતિ અને બ્રાઉઝિંગ વ્યાપથી VPN, કન્ટેન્ટ ફિલ્ટર અને Private Relayને અલગ પાડો.
તમારા Mac પર એકસાથે VPN ટનલ, કન્ટેન્ટ ફિલ્ટર અને iCloud Private Relay ઇન્સ્ટોલ હોઈ શકે, અને તેમાંથી કોઈ જાહેર કરતું નથી કે કયું આપેલ કનેક્શનને આકાર આપી રહ્યું છે. સેટિંગ્સની પેનલ સરખી દેખાય છે, આઇકોન સરખા દેખાય છે, અને લગભગ દરેક વેન્ડર પોતાના ઉત્પાદનને નેટવર્ક સિક્યોરિટી કહે છે. ત્રણ હકીકતો તેમને જુદા પાડે છે: ટ્રાફિક તમે નામ આપી શકો એવા દૂરસ્થ એન્ડપોઇન્ટમાંથી નીકળે છે કે નહીં, નીતિ એન્જિન વ્યક્તિગત ફ્લો પર મંજૂરી-કે-અસ્વીકાર નિર્ણય લે છે કે નહીં, અને સુરક્ષા Safari પર જ અટકે છે કે નહીં. આ ત્રણ સ્પષ્ટ થાય તો મારું VPN ચાલુ છે કે નહીં એવા મોટા ભાગના પ્રશ્નો જાતે જ જવાબ આપી દે છે.
ઘટકને ઓળખતી ત્રણ શરતો
પ્રથમ શરત એ બહાર નીકળવાનો માર્ગ છે. ટનલ પ્રદાતા પેકેટ દૂરસ્થ ગેટવેને સોંપે છે, તેથી તમારું જાહેર સરનામું બદલાય છે અને, પ્રોફાઇલ કહે તો, તે ગેટવે પાછળના હોસ્ટ સુલભ બને છે. જો સરનામું કદી બદલાતું ન હોય અને કોઈ ખાનગી સબનેટ ખૂલતું ન હોય, તો મેનુ બાર શું કહે તે ગમે તે, તમે કાર્યરત ટનલ જોઈ રહ્યા નથી.
બીજી શરત એ નિર્ણય છે. કન્ટેન્ટ ફિલ્ટર ફ્લોનું મૂલ્યાંકન કરે છે અને મંજૂરી કે અસ્વીકાર પાછું આપે છે. તે કેટેગરી બ્લોક, એપ-વાર નિયમ કે એમ્પ્લોયર મોકલેલી નીતિ લાગુ કરી શકે છે, અને ચુકાદો લોગ કરી શકે છે. જે તે એકલું કરી શકતું નથી તે છે ટ્રાફિકને જવાનું સ્થળ આપવું.
ત્રીજી શરત એ વ્યાપ છે. Private Relay આખા ઉપકરણને બદલે બ્રાઉઝિંગના નિશ્ચિત ભાગને સુરક્ષિત કરે છે, અને તેનું કામ તમે કોણ છો તેને તમે શું જુઓ છો તેનાથી અલગ રાખવાનું છે, તમને બીજા નેટવર્ક પર મૂકવાનું નહીં.
ત્રણેયને સાથે મૂકો અને સીમાઓ ચૂકી જવી મુશ્કેલ છે:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
કન્ટેન્ટ ફિલ્ટર નીતિ એન્જિન છે, એક્ઝિટ નહીં
macOS માં ફિલ્ટર Network Extension તરીકે આવે છે, જે Apple ના ફિલ્ટર ડેટા પ્રદાતા વર્ગ NEFilterDataProvider પર બનેલું છે. મેનેજ્ડ ડિપ્લોયમેન્ટમાં તેને MDM ધકેલે છે, સિસ્ટમ એક્સ્ટેન્શન તરીકે ઇન્સ્ટોલ થાય છે અને System Settings > General > Login Items and Extensions હેઠળ એક વાર મંજૂર થાય છે. ત્યારપછી તે TCP ફ્લો જુએ છે, અને કેટલાક કોન્ફિગરેશનમાં UDP પણ, અને દરેક પર ચુકાદો પાછો આપે છે.
નિષ્ફળતાની રીત એ છે જે લોકોને મૂંઝવે છે. ફ્લો અસ્વીકાર કરતું ફિલ્ટર ટાઇમઆઉટ, અટકેલું TLS હેન્ડશેક કે રીસેટ ઉત્પન્ન કરે છે, જે બરાબર એવી ટનલ જેવું દેખાય છે જે ઉપર આવી ગઈ છે પણ ટ્રાફિક પસાર કરી શકતી નથી. જાહેર સરનામું કદી બદલાયું નહીં, કારણ કે બદલવા માટે કોઈ એક્ઝિટ જ નહોતું.
કોમર્શિયલ ક્લાયન્ટ બંને ભૂમિકાઓ ઘણી વાર સાથે લાવે છે. એક જ ઇન્સ્ટોલર ટનલ પ્રદાતા અને ફિલ્ટર લાવે છે, બ્લોકિંગ ફિલ્ટર કરે છે અને રૂટિંગ ટનલ કરે છે. તેથી કયા ઘટકે કનેક્શન નકાર્યું તે એપના નામથી ખબર પડતી નથી. એક્સ્ટેન્શનની યાદી, પછી જોડાયેલી સેવા, પછી ક્લાયન્ટ લોગ, એ જ ક્રમમાં તપાસો.
Private Relay Safari ને આવરે છે, આખી મશીનને નહીં
Private Relay જે બ્રાઉઝિંગ આવરે છે તેને અલગ પક્ષો ચલાવતા બે રિલે દ્વારા મોકલે છે, તેથી કોઈ એક ઓપરેટર પાસે તમારી ઓળખ અને તમારા ગંતવ્યો બંને હોતા નથી. તે ગોપનીયતાની રચના છે, ટનલ નહીં: અંદર જવાનું કોઈ ગેટવે નથી, કોઈ ખાનગી સબનેટ નથી, અને તમે પસંદ કરેલા દેશમાં એક્ઝિટ સરનામું પિન કરવાનો કોઈ રસ્તો નથી.
તેનો વ્યાપ જાણી જોઈને સાંકડો છે, જે Safari બ્રાઉઝિંગ સાથે તેની સાથે આવતી DNS પૂછપરછ અને અસુરક્ષિત HTTP લોડને આવરે છે. ટર્મિનલ સેશન, મેઇલ ક્લાયન્ટ, ચેટ એપ અને ગેમ લોન્ચર તેની બહાર રહે છે. જો ટર્મિનલમાં તપાસ હજી તમારા એક્સેસ નેટવર્કનું સરનામું બતાવે જ્યારે Safari રિલે સરનામું બતાવે, તો તે અપેક્ષિત પરિણામ છે, તૂટેલી ઇન્સ્ટોલ નહીં.
ઉપલબ્ધતા શરતી છે. તેને iCloud+ પ્લાન જોઈએ, દરેક પ્રદેશમાં ઓફર થતું નથી, અને મેનેજ્ડ નેટવર્ક રિલે ઍક્સેસ બ્લોક કરી શકે, જે સ્થિતિમાં Safari સીધા કનેક્શન પર પાછું જાય છે. Apple નું Private Relay વિહંગાવલોકન વર્તમાન વ્યાપનો સંદર્ભ છે. જ્યારે VPN પ્રોફાઇલ જોડાયેલું હોય અને તે ટ્રાફિક વહન કરતું હોય, ત્યારે રિલે તેની ઉપર થર કરાતું નથી; પાથ પ્રોફાઇલ નક્કી કરે છે.
પુરાવા યોગ્ય ક્રમમાં વાંચો
સેવાની સ્થિતિથી શરૂ કરો, કારણ કે તે સૌથી સસ્તું સંકેત છે. scutil --nc list કોન્ફિગર કરેલી VPN સેવાઓ અને દરેક જોડાયેલી છે કે નહીં તે છાપે છે. પ્રોફાઇલ કદી જોડાયા વિના વર્ષો સુધી ત્યાં પડી રહી શકે છે, અને લોકો તેને નિયમિતપણે ટનલ ગણે છે.
પછી ઇન્ટરફેસ અને રૂટ જુઓ. ifconfig utun ઇન્ટરફેસ બતાવે છે, પણ માત્ર તેમની હાજરી થોડું સાબિત કરે છે, કારણ કે macOS VPN ઉપરાંત ઘણા હેતુઓ માટે utun વાપરે છે. મહત્વનું એ છે કે ડિફોલ્ટ રૂટ તેમાંથી એકમાં જાય છે કે નહીં, જે route -n get default જણાવે છે.
નામ રિઝોલ્યુશન માટે scutil --dns સિસ્ટમ ખરેખર વાપરશે તે રિઝોલ્વરની યાદી આપે છે, અને ત્યાં DNS પ્રોક્સી પ્રદાતા દેખાય છે. dig +short example.com ની dig +short example.com @1.1.1.1 સાથે સરખામણી જવાબ આપતા રિઝોલ્વરને અટકાવાઈ રહેલા રિઝોલ્વરથી અલગ પાડે છે.
એક્સ્ટેન્શનની પ્રવૃત્તિ એકીકૃત લોગ સુધી પહોંચે છે: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. તમે એ શોધી રહ્યા છો કે કઈ એક્સ્ટેન્શન શરૂ થઈ અને ફિલ્ટરે તમને લગતા ફ્લો પર ચુકાદો નોંધ્યો કે નહીં, યાદ રાખવા જેવી લાઇન નહીં.
કંઈપણ બંધ કરતા પહેલાં લક્ષણને સાંકડું કરો
પહેલાં નિષ્ફળતાનું વર્ગીકરણ કરો. જે નામ રિઝોલ્વ થતું નથી, તરત નકારાયેલું કનેક્શન, અને ટાઇમઆઉટ સુધી લટકતું કનેક્શન — આ ત્રણ અલગ અવલોકનો છે, ત્રણ અલગ જવાબદારો સાથે. રિઝોલ્યુશન રિઝોલ્વર કે DNS પ્રોક્સી તરફ ઇશારો કરે છે. તરતનો અસ્વીકાર ફિલ્ટર નિયમ તરફ ઇશારો કરે છે. મૌન સામાન્ય રીતે રૂટિંગ તરફ, અથવા ઉપર આવેલી પણ ફોરવર્ડ ન કરતી ટનલ તરફ ઇશારો કરે છે.
મેનેજ્ડ Mac પર ધારો કે ફિલ્ટર સંસ્થાનું છે. VPN ચકાસવા માટે તેને બંધ કરવાથી તમે જે ઘટક જોવા માંગતા હતા તે જ દૂર થાય છે, અને MDM આગલી ચકાસણીમાં તેને ઘણી વાર પાછું લાવે છે. કંઈપણ બદલતા પહેલાં એડમિનિસ્ટ્રેટરને નીતિનું નામ પૂછો, અને આખી સિસ્ટમને બદલે જે એપ નિષ્ફળ ગઈ તેની સાથે ચકાસો.
બીજી એક જાળ: VPN ચકાસવા Private Relay બંધ કરવાથી વિદેશી ટ્રાફિક વિશે કંઈ ખબર પડતી નથી, કારણ કે રિલેએ તે ટ્રાફિકને કદી આવર્યો જ નહોતો. દરેક સ્તરને જે એપ પર તે ખરેખર શાસન કરે છે તેના પર ચકાસવું પડે.
આ યાદી પર ચાલો અને નિષ્ફળ થતી પહેલી આઇટમ પર અટકો:
scutil --nc listતમે અપેક્ષા રાખો છો તે સેવાને જોડાયેલી તરીકે બતાવે છે?- ટર્મિનલથી દેખાતું જાહેર સરનામું તમારા એક્સેસ નેટવર્કે આપેલા સરનામાથી અલગ છે?
- ફિલ્ટર એક્સ્ટેન્શન ઇન્સ્ટોલ છે, અને નિષ્ફળ થતા ફ્લો માટે તેણે ચુકાદો લોગ કર્યો?
- નિષ્ફળતા ફક્ત Safari માં છે? જો એમ હોય, તો ટનલને દોષ આપતા પહેલાં રિલેનો વ્યાપ તપાસો.
જો ચારેય પાસ થાય અને એપ હજી નિષ્ફળ જાય, તો સમસ્યા નેટવર્ક સ્તરની ઉપર છે: પ્રોક્સી સેટિંગ્સ, સર્ટિફિકેટ ટ્રસ્ટ, કે એપ-સ્તરીય મંજૂર યાદી.