Mac VPN, filtar sadržaja ili Private Relay: što je aktivno

Na vašem Macu mogu istodobno biti instalirani VPN tunel, filtar sadržaja i iCloud Private Relay, a nijedan od njih ne objavljuje koji od njih oblikuje određenu vezu. Ploče postavki izgledaju slično, ikone izgledaju slično, a gotovo svaki dobavljač svoj proizvod naziva mrežnom sigurnošću. Tri činjenice ih razdvajaju: izlazi li promet kroz udaljenu odredišnu točku koju možete imenovati, donosi li mehanizam politike odluke dopusti-ili-odbaci na pojedinačnim tokovima i zaustavlja li se zaštita na Safariju. Posložite li to troje, većina pitanja je-li-moj-VPN-uključen odgovara sama na sebe.

Tri uvjeta koja prepoznaju komponentu

Prvi je uvjet izlaz. Pružatelj tunela predaje pakete udaljenom pristupniku, pa se vaša javna adresa mijenja i, ako profil tako kaže, hostovi iza tog pristupnika postaju dostupni. Ako se adresa nikad ne promijeni i ne otvori se nikakva privatna podmreža, ne gledate u ispravan tunel, što god pisalo u traci izbornika.

Drugi je uvjet odluka. Filtar sadržaja ocjenjuje tokove i vraća dopusti ili odbaci. Može provesti blokadu kategorije, pravilo po aplikaciji ili politiku koju je poslao poslodavac, i može zabilježiti presudu. Ono što sam ne može jest dati prometu kamo da ode.

Treći je uvjet opseg. Private Relay štiti definirani dio pregledavanja, a ne cijeli uređaj, i njegov je posao razdvojiti tko ste od onoga što posjećujete, a ne smjestiti vas na drugu mrežu.

Stavite ih jedan uz drugi i granice je teško promašiti:

Filtar sadržaja je mehanizam politike, a ne izlaz

Na macOS-u filtar dolazi kao Network Extension izgrađen na Appleovoj klasi pružatelja podataka filtra, NEFilterDataProvider. U upravljanom raspoređivanju gura ga MDM, instalira se kao sistemsko proširenje i jednom se odobri u System Settings > General > Login Items and Extensions. Od tada vidi TCP tokove, a u nekim konfiguracijama i UDP, i vraća presudu za svaki.

Način neuspjeha je ono što zbunjuje ljude. Filtar koji odbaci tok proizvodi istek vremena, zaglavljeno TLS rukovanje ili reset, što izgleda baš kao tunel koji se podigao ali ne propušta promet. Javna adresa nikad se nije promijenila jer nije bilo izlaza da je promijeni.

Komercijalni klijenti često objedinjuju obje uloge. Jedan instalater donosi pružatelja tunela i filtar, filtar blokira, a tunel usmjerava. Ime aplikacije stoga vam ne govori ništa o tome koja je komponenta odbila vezu. Provjerite popis proširenja, zatim povezanu uslugu, pa dnevnik klijenta, tim redom.

Private Relay pokriva Safari, ne cijelo računalo

Private Relay šalje pregledavanje koje pokriva kroz dva releja kojima upravljaju odvojene strane, pa nijedan pojedinačni operator ne drži i vaš identitet i vaša odredišta. To je dizajn privatnosti, a ne tunel: nema pristupnika u koji možete ući, nema privatne podmreže i nema načina da izlaznu adresu prikvačite u zemlji koju odaberete.

Njegov je opseg namjerno uzak i pokriva pregledavanje u Safariju zajedno s DNS upitima i nesigurnim HTTP učitavanjima koja ga prate. Terminalska sesija, poštanski klijent, chat aplikacija i pokretač igara stoje izvan njega. Ako provjera u Terminalu i dalje pokazuje adresu vaše pristupne mreže, a Safari pokazuje adresu releja, to je očekivani rezultat, a ne pokvarena instalacija.

Dostupnost je uvjetna. Potreban je iCloud+ plan, ne nudi se u svakoj regiji, a upravljana mreža može blokirati pristup releju, pa Safari prelazi na izravnu vezu. Appleov pregled Private Relayja referenca je za trenutačni opseg. Kad je VPN profil povezan i nosi taj promet, relej se ne slaže povrh njega; putanju određuje profil.

Čitajte dokaze ispravnim redom

Počnite sa stanjem usluge jer je to najjeftiniji signal. scutil --nc list ispisuje konfigurirane VPN usluge i je li svaka povezana. Profil može godinama stajati ondje, a da nikad nije povezan, i ljudi to redovito računaju kao tunel.

Zatim pogledajte sučelja i rute. ifconfig pokazuje utun sučelja, ali samo njihova prisutnost malo dokazuje jer macOS rabi utun u više svrha osim VPN-a. Važno je vodi li zadana ruta u neko od njih, što javlja route -n get default.

Za razrješavanje imena scutil --dns navodi razrješivače koje će sustav doista rabiti, a ondje se pojavljuje i pružatelj DNS proxyja. Usporedba dig +short example.com s dig +short example.com @1.1.1.1 razdvaja razrješivač koji odgovara od onoga koji se presreće.

Aktivnost proširenja stiže u objedinjeni dnevnik: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Tražite koje je proširenje počelo i je li filtar izvijestio o presudi za tok koji vas zanima, a ne redak za pamćenje.

Suzite simptom prije nego što bilo što isključite

Najprije razvrstajte kvar. Ime koje se ne razrješava, veza koja se odmah odbija i veza koja visi do isteka vremena tri su različita zapažanja s tri različita vlasnika. Razrješavanje upućuje na razrješivač ili DNS proxy. Trenutačno odbijanje upućuje na pravilo filtra. Tišina obično upućuje na usmjeravanje ili na tunel koji je podignut ali ne prosljeđuje.

Na upravljanom Macu pretpostavite da filtar pripada organizaciji. Isključivanje radi provjere VPN-a uklanja komponentu koju ste htjeli promatrati, a MDM je često vraća pri sljedećoj provjeri. Pitajte administratora za naziv politike prije nego što bilo što promijenite i testirajte konkretnom aplikacijom koja je zakazala, a ne cijelim sustavom.

Još jedna zamka: isključivanje Private Relayja radi provjere VPN-a ne govori ništa o stranom prometu jer relej taj promet nikad nije ni pokrivao. Svaki se sloj mora testirati u aplikaciji kojom doista upravlja.

Prođite ovim popisom i zaustavite se na prvoj stavci koja padne:

• Prikazuje li scutil --nc list očekivanu uslugu kao povezanu?
• Razlikuje li se javna adresa viđena iz Terminala od adrese koju je dodijelila vaša pristupna mreža?
• Je li instalirano proširenje filtra i je li zabilježilo presudu za tok koji pada?
• Je li kvar samo u Safariju? Ako jest, provjerite opseg releja prije nego optužite tunel.

Ako sve četiri prođu, a aplikacija i dalje pada, problem je iznad mrežnog sloja: postavke proxyja, povjerenje u certifikat ili popis dopuštenih na razini aplikacije.