Mac VPN, कंटेंट फ़िल्टर या Private Relay: कौन सक्रिय है
Mac की तीनों नेटवर्क परतें Settings में एक जैसी दिखती हैं। एग्ज़िट पथ, फ़्लो नीति और ब्राउज़िंग दायरे से VPN, कंटेंट फ़िल्टर और Private Relay को अलग पहचानें।
आपके Mac पर एक साथ VPN टनल, कंटेंट फ़िल्टर और iCloud Private Relay इंस्टॉल हो सकते हैं, और इनमें से कोई नहीं बताता कि कौन किसी दिए गए कनेक्शन को आकार दे रहा है। सेटिंग्स के पैनल एक जैसे दिखते हैं, आइकन एक जैसे दिखते हैं, और लगभग हर विक्रेता अपने उत्पाद को नेटवर्क सुरक्षा कहता है। तीन तथ्य इन्हें अलग करते हैं: ट्रैफ़िक क्या ऐसे दूरस्थ एंडपॉइंट से निकलता है जिसका नाम आप बता सकें, कोई नीति इंजन अलग-अलग फ़्लो पर अनुमति-या-अस्वीकार का फ़ैसला ले रहा है या नहीं, और सुरक्षा Safari पर ही रुक जाती है या नहीं। ये तीन साफ़ हो जाएँ तो क्या-मेरा-VPN-चालू-है जैसे ज़्यादातर सवाल खुद जवाब दे देते हैं।
घटक की पहचान करने वाली तीन शर्तें
पहली शर्त है निकास। टनल प्रदाता पैकेट दूरस्थ गेटवे को सौंपता है, इसलिए आपका सार्वजनिक पता बदल जाता है और, अगर प्रोफ़ाइल ऐसा कहता है, तो उस गेटवे के पीछे के होस्ट पहुँच में आ जाते हैं। अगर पता कभी नहीं बदलता और कोई निजी सबनेट नहीं खुलता, तो मेन्यू बार चाहे कुछ भी कहे, आप कोई काम करती टनल नहीं देख रहे।
दूसरी शर्त है फ़ैसला। कंटेंट फ़िल्टर फ़्लो का मूल्यांकन करता है और अनुमति या अस्वीकार लौटाता है। यह किसी श्रेणी पर रोक, प्रति-ऐप नियम या नियोक्ता द्वारा भेजी गई नीति लागू कर सकता है, और फ़ैसला लॉग कर सकता है। जो यह अकेले नहीं कर सकता वह है ट्रैफ़िक को जाने की जगह देना।
तीसरी शर्त है दायरा। Private Relay पूरे डिवाइस के बजाय ब्राउज़िंग के एक तय हिस्से की रक्षा करता है, और उसका काम यह अलग करना है कि आप कौन हैं और आप कहाँ जाते हैं, आपको किसी दूसरे नेटवर्क पर रखना नहीं।
इन तीनों को साथ रखिए और सीमाएँ चूकना मुश्किल है:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
कंटेंट फ़िल्टर नीति इंजन है, निकास नहीं
macOS में फ़िल्टर Network Extension के रूप में आता है, जो Apple की फ़िल्टर डेटा प्रदाता क्लास NEFilterDataProvider पर बना है। प्रबंधित परिनियोजन में इसे MDM धकेलता है, यह सिस्टम एक्सटेंशन के रूप में इंस्टॉल होता है और System Settings > General > Login Items and Extensions में एक बार स्वीकृत होता है। उसके बाद यह TCP फ़्लो देखता है, और कुछ कॉन्फ़िगरेशन में UDP भी, और हर एक पर फ़ैसला लौटाता है।
विफलता का तरीका ही लोगों को उलझाता है। फ़्लो अस्वीकार करने वाला फ़िल्टर टाइमआउट, अटका हुआ TLS हैंडशेक या रीसेट पैदा करता है, जो ठीक वैसी ही टनल जैसा दिखता है जो उठ तो गई हो पर ट्रैफ़िक पास नहीं करा सकती। सार्वजनिक पता कभी नहीं बदला, क्योंकि बदलने के लिए कोई निकास ही नहीं था।
व्यावसायिक क्लाइंट अक्सर दोनों भूमिकाएँ साथ लाते हैं। एक ही इंस्टॉलर टनल प्रदाता और फ़िल्टर लाता है, रोकना फ़िल्टर करता है और रूटिंग टनल करती है। इसलिए ऐप का नाम आपको यह नहीं बताता कि किस घटक ने कनेक्शन ठुकराया। एक्सटेंशन सूची, फिर जुड़ी सेवा, फिर क्लाइंट लॉग, इसी क्रम में देखें।
Private Relay Safari को ढकता है, पूरी मशीन को नहीं
Private Relay जिस ब्राउज़िंग को ढकता है उसे अलग-अलग पक्षों द्वारा चलाए जाने वाले दो रिले से भेजता है, इसलिए किसी एक ऑपरेटर के पास आपकी पहचान और आपके गंतव्य दोनों नहीं होते। यह गोपनीयता का डिज़ाइन है, टनल नहीं: अंदर जाने का कोई गेटवे नहीं, कोई निजी सबनेट नहीं, और आपके चुने देश में निकास पता टिकाने का कोई तरीका नहीं।
इसका दायरा जानबूझकर संकरा है: Safari ब्राउज़िंग के साथ उसके साथ आने वाली DNS क्वेरी और असुरक्षित HTTP लोड भी शामिल हैं। टर्मिनल सत्र, मेल क्लाइंट, चैट ऐप और गेम लॉन्चर इससे बाहर हैं। अगर टर्मिनल में जाँच अब भी आपके एक्सेस नेटवर्क का पता दिखाती है जबकि Safari रिले पता दिखा रहा है, तो यही अपेक्षित परिणाम है, टूटी हुई इंस्टॉल नहीं।
उपलब्धता शर्तों पर है। इसके लिए iCloud+ प्लान चाहिए, हर क्षेत्र में यह उपलब्ध नहीं है, और प्रबंधित नेटवर्क रिले पहुँच रोक सकता है, जिस स्थिति में Safari सीधे कनेक्शन पर लौट आता है। Apple का Private Relay अवलोकन मौजूदा दायरे का संदर्भ है। जब VPN प्रोफ़ाइल जुड़ी हो और वही ट्रैफ़िक ले जा रही हो, तो रिले उसके ऊपर नहीं चढ़ता; रास्ता प्रोफ़ाइल तय करती है।
सबूत सही क्रम में पढ़ें
सेवा की स्थिति से शुरू करें, क्योंकि वह सबसे सस्ता संकेत है। scutil --nc list कॉन्फ़िगर की गई VPN सेवाएँ और यह छापता है कि हर एक जुड़ी है या नहीं। कोई प्रोफ़ाइल वहाँ सालों पड़ी रह सकती है बिना कभी जुड़े, और लोग उसे नियमित रूप से टनल गिनते हैं।
फिर इंटरफ़ेस और रूट देखें। ifconfig utun इंटरफ़ेस दिखाता है, पर केवल उनका होना बहुत कुछ साबित नहीं करता, क्योंकि macOS VPN के अलावा कई कामों के लिए utun इस्तेमाल करता है। अहम यह है कि डिफ़ॉल्ट रूट उनमें से किसी में जाता है या नहीं, जिसकी सूचना route -n get default देता है।
नाम विमोचन के लिए scutil --dns उन रिज़ॉल्वर की सूची देता है जिन्हें सिस्टम वास्तव में उपयोग करेगा, और वहाँ DNS प्रॉक्सी प्रदाता दिखाई देता है। dig +short example.com की dig +short example.com @1.1.1.1 से तुलना जवाब देने वाले रिज़ॉल्वर को रोके जा रहे रिज़ॉल्वर से अलग करती है।
एक्सटेंशन गतिविधि एकीकृत लॉग तक पहुँचती है: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m। आप यह ढूँढ रहे हैं कि कौन सा एक्सटेंशन शुरू हुआ और क्या किसी फ़िल्टर ने आपके मायने वाले फ़्लो पर फ़ैसला दर्ज किया, याद करने के लिए कोई पंक्ति नहीं।
कुछ भी बंद करने से पहले लक्षण को सँकरा करें
पहले विफलता का वर्गीकरण करें। जो नाम हल नहीं होता, तुरंत ठुकराया गया कनेक्शन, और टाइमआउट तक लटकता कनेक्शन — ये तीन अलग अवलोकन हैं, तीन अलग ज़िम्मेदारों के साथ। विमोचन रिज़ॉल्वर या DNS प्रॉक्सी की ओर इशारा करता है। तुरंत अस्वीकार फ़िल्टर नियम की ओर इशारा करता है। ख़ामोशी आम तौर पर रूटिंग की ओर, या ऐसी टनल की ओर इशारा करती है जो उठी है पर आगे नहीं भेजती।
प्रबंधित Mac पर मान लें कि फ़िल्टर संगठन का है। VPN जाँचने के लिए उसे बंद करना उसी घटक को हटा देता है जिसे आप देखना चाहते थे, और MDM अगली जाँच में अक्सर उसे बहाल कर देता है। कुछ भी बदलने से पहले व्यवस्थापक से नीति का नाम पूछें, और पूरे सिस्टम के बजाय उसी ऐप से जाँचें जो विफल हुआ।
एक और जाल: VPN जाँचने के लिए Private Relay बंद करना विदेशी ट्रैफ़िक के बारे में कुछ नहीं बताता, क्योंकि रिले ने वह ट्रैफ़िक कभी ढका ही नहीं था। हर परत को उसी ऐप पर जाँचना होगा जिस पर वह दरअसल शासन करती है।
इस सूची पर चलिए और पहले विफल होने वाले मद पर रुकिए:
- क्या
scutil --nc listउस सेवा को जुड़ी दिखाता है जिसकी आप अपेक्षा करते हैं? - क्या टर्मिनल से दिखने वाला सार्वजनिक पता आपके एक्सेस नेटवर्क द्वारा दिए गए पते से अलग है?
- क्या कोई फ़िल्टर एक्सटेंशन इंस्टॉल है, और क्या उसने विफल फ़्लो पर फ़ैसला लॉग किया?
- क्या विफलता केवल Safari में है? अगर हाँ, तो टनल को दोष देने से पहले रिले का दायरा देखें।
अगर चारों पास हों और ऐप फिर भी विफल हो, तो समस्या नेटवर्क परत के ऊपर है: प्रॉक्सी सेटिंग्स, प्रमाणपत्र पर भरोसा, या ऐप-स्तरीय अनुमति सूची।