Mac-ի VPN, բովանդակության զտիչ, թե Private Relay՝ ո՞րն է ակտիվ
Mac-ի ցանցի երեք շերտերը Կարգավորումներում նույն տեսքն ունեն։ Ելքի ուղին, հոսքի քաղաքականությունը և զննարկման շրջանակը տարբերում են VPN-ը, բովանդակության զտիչը և Private Relay-ը։
Ձեր Mac-ում կարող են միաժամանակ տեղադրված լինել VPN թունել, բովանդակության զտիչ և iCloud Private Relay, և նրանցից ոչ մեկը չի հայտնում, թե որն է ձևավորում տվյալ կապը։ Կարգավորումների վահանակները նման են, պատկերակները նման են, և գրեթե ամեն մատակարար իր արտադրանքը անվանում է ցանցային անվտանգություն։ Երեք փաստ տարանջատում է նրանց՝ արդյոք երթևեկությունը դուրս է գալիս ձեր անվանած հեռավոր վերջնակետով, արդյոք քաղաքականության շարժիչը առանձին հոսքերի համար թույլատրել-կամ-մերժել որոշումներ է կայացնում, և արդյոք պաշտպանությունը վերջանում է Safari-ով։ Այս երեքը պարզելուց հետո իմ-VPN-ը-միացվա՞ծ-է հարցերի մեծ մասը ինքնին պատասխանվում է։
Երեք պայման, որոնք ճանաչում են բաղադրիչը
Առաջին պայմանը ելքն է։ Թունելի մատակարարը փաթեթները հանձնում է հեռավոր դարպասին, ուստի ձեր հանրային հասցեն փոխվում է, և եթե պրոֆիլը այդպես է ասում, այդ դարպասի հետևի հոսթերը դառնում են հասանելի։ Եթե հասցեն երբեք չի փոխվում և ոչ մի մասնավոր ենթացանց չի բացվում, դուք աշխատող թունել չեք տեսնում, ինչ էլ որ ասի մենյուի գոտին։
Երկրորդ պայմանը որոշումն է։ Բովանդակության զտիչը գնահատում է հոսքերը և վերադարձնում թույլատրել կամ մերժել։ Այն կարող է կիրառել կատեգորիայի արգելափակում, հավելվածով պայմանավորված կանոն կամ գործատուի ուղարկած քաղաքականություն և կարող է գրանցել վճիռը։ Ինչ ինքը չի կարող անել, դա երթևեկությանը գնալու տեղ տալն է։
Երրորդ պայմանը շրջանակն է։ Private Relay-ը պաշտպանում է զննարկման որոշակի հատված, ոչ ամբողջ սարքը, և նրա գործը ձեր ինքնությունը ձեր այցելածից բաժանելն է, ոչ թե ձեզ այլ ցանցում տեղավորելը։
Դրեք երեքը կողք-կողքի, և սահմանները դժվար է շփոթել։
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Բովանդակության զտիչը քաղաքականության շարժիչ է, ոչ ելք
macOS-ում զտիչը գալիս է որպես Network Extension՝ կառուցված Apple-ի զտիչի տվյալների մատակարարի NEFilterDataProvider դասի վրա։ Կառավարվող տեղակայման դեպքում այն մղում է MDM-ը, տեղադրվում է որպես համակարգի ընդլայնում և մեկ անգամ հաստատվում System Settings > General > Login Items and Extensions-ում։ Այդ պահից այն տեսնում է TCP հոսքեր, որոշ կարգավորումներում նաև UDP, և յուրաքանչյուրի համար վճիռ է վերադարձնում։
Ձախողման եղանակն է, որ մարդկանց շփոթեցնում է։ Հոսքը մերժող զտիչը ստեղծում է ժամկետի լրանալ, կանգնած TLS ձեռքսեղմում կամ վերակայում, ինչը ճիշտ նման է բարձրացած, բայց երթևեկություն չանցկացնող թունելի։ Հանրային հասցեն երբեք չի փոխվել, որովհետև ելք չկար, որ այն փոխեր։
Առևտրային հաճախորդները հաճախ միավորում են երկու դերերը։ Մեկ տեղադրիչ բերում է թունելի մատակարար և զտիչ, զտիչն արգելափակում է, իսկ թունելը՝ երթուղավորում։ Այնպես որ հավելվածի անունը ոչինչ չի ասում, թե որ բաղադրիչն է մերժել կապը։ Ստուգեք ընդլայնումների ցանկը, ապա միացված ծառայությունը, ապա հաճախորդի մատյանը՝ հենց այդ կարգով։
Private Relay-ը ծածկում է Safari-ն, ոչ ամբողջ մեքենան
Private Relay-ը ծածկվող զննարկումն ուղարկում է երկու ռելեներով, որոնք վարում են առանձին կողմեր, ուստի ոչ մի միակ օպերատոր չի պահում և՛ ձեր ինքնությունը, և՛ ձեր նպատակակետերը։ Սա գաղտնիության ձևավորում է, ոչ թունել՝ չկա դարպաս, որ մտնես, չկա մասնավոր ենթացանց, և չկա ձեր ընտրած երկրում ելքի հասցե ամրացնելու միջոց։
Նրա շրջանակը դիտավորյալ նեղ է՝ ծածկում է Safari-ի զննարկումը դրա հետ եկող DNS հարցումների և անապահով HTTP բեռնումների հետ միասին։ Տերմինալի սեանսը, փոստի հաճախորդը, զրուցարան հավելվածը և խաղերի գործարկիչը դուրս են մնում։ Եթե Տերմինալում ստուգումը դեռ ցույց է տալիս ձեր մուտքի ցանցի հասցեն, մինչ Safari-ն ցույց է տալիս ռելեի հասցե, դա սպասված արդյունքն է, ոչ թե կոտրված տեղադրում։
Հասանելիությունը պայմանական է։ Պահանջվում է iCloud+ փաթեթ, այն չի առաջարկվում բոլոր տարածաշրջաններում, և կառավարվող ցանցը կարող է արգելափակել ռելեի մուտքը, որի դեպքում Safari-ն վերադառնում է ուղիղ կապի։ Apple-ի Private Relay ակնարկը ընթացիկ շրջանակի հղումն է։ Երբ VPN պրոֆիլը միացված է և կրում է այդ երթևեկությունը, ռելեն դրա վրա չի շերտավորվում. ուղին որոշում է պրոֆիլը։
Կարդացեք ապացույցները ճիշտ հերթականությամբ
Սկսեք ծառայության վիճակից, որովհետև դա ամենաէժան ազդանշանն է։ scutil --nc list-ը տպում է կարգավորված VPN ծառայությունները և արդյոք յուրաքանչյուրը միացված է։ Պրոֆիլը կարող է տարիներ այնտեղ մնալ՝ երբեք չմիանալով, և մարդիկ սովորաբար դա համարում են թունել։
Ապա նայեք ինտերֆեյսներին և ուղիներին։ ifconfig-ը ցույց է տալիս utun ինտերֆեյսներ, բայց միայն դրանց առկայությունը քիչ բան է ապացուցում, քանի որ macOS-ը utun-ը օգտագործում է VPN-ից բացի ևս մի քանի նպատակով։ Կարևորն այն է, թե արդյոք լռելյայն ուղին մտնում է դրանցից մեկի մեջ, ինչը հայտնում է route -n get default-ը։
Անունների լուծման համար scutil --dns-ը թվարկում է լուծիչները, որոնք համակարգը իրականում կօգտագործի, և այնտեղ հայտնվում է DNS վստահված սերվերի մատակարար։ dig +short example.com-ի համեմատումը dig +short example.com @1.1.1.1-ի հետ առանձնացնում է պատասխանող լուծիչը գաղտնալսվող լուծիչից։
Ընդլայնումների ակտիվությունը հասնում է միասնական մատյան. log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m։ Դուք փնտրում եք, թե որ ընդլայնումն սկսվեց և արդյոք զտիչը ձեզ հուզող հոսքի համար վճիռ հաղորդեց, ոչ թե անգիր անելու տող։
Նեղացրեք ախտանիշը, նախքան ինչ-որ բան անջատելը
Նախ դասակարգեք ձախողումը։ Չլուծվող անունը, անմիջապես մերժված կապը և մինչև ժամկետի լրանալը կախված կապը երեք տարբեր դիտարկումներ են՝ երեք տարբեր պատասխանատուներով։ Լուծումը մատնանշում է լուծիչ կամ DNS վստահված սերվեր։ Անմիջական մերժումը մատնանշում է զտիչի կանոն։ Լռությունը սովորաբար մատնանշում է երթուղավորում կամ բարձրացած, բայց չփոխանցող թունել։
Կառավարվող Mac-ում ենթադրեք, որ զտիչը կազմակերպությանն է։ Այն անջատելը VPN-ը փորձարկելու համար հեռացնում է հենց այն բաղադրիչը, որ ուզում էիք դիտարկել, և MDM-ը հաճախ վերականգնում է այն հաջորդ ստուգման ժամանակ։ Ինչ-որ բան փոխելուց առաջ ադմինիստրատորից հարցրեք քաղաքականության անունը և փորձարկեք հենց այն հավելվածով, որը ձախողվեց, ոչ ամբողջ համակարգով։
Եվս մեկ ծուղակ. Private Relay-ն անջատելը VPN-ը փորձարկելու համար ոչինչ չի ասում արտասահմանյան երթևեկության մասին, որովհետև ռելեն երբեք չի ծածկել այդ երթևեկությունը։ Յուրաքանչյուր շերտ պետք է փորձարկվի այն հավելվածում, որն իսկապես կառավարում է։
Անցեք այս ցանկով և կանգ առեք առաջին ձախողվող կետի վրա.
scutil --nc list-ը ձեր սպասած ծառայությունը միացվա՞ծ է ցույց տալիս։- Տերմինալից երևացող հանրային հասցեն տարբերվու՞մ է ձեր մուտքի ցանցի տված հասցեից։
- Զտիչի ընդլայնում տեղադրվա՞ծ է, և արդյոք այն վճիռ գրանցեց ձախողվող հոսքի համար։
- Ձախողումը միայն Safari-ո՞ւմ է։ Եթե այո, նախքան թունելին մեղադրելը ստուգեք ռելեի շրջանակը։
Եթե բոլոր չորսն անցնեն, և հավելվածը դեռ ձախողվի, խնդիրը ցանցային շերտից վեր է՝ վստահված սերվերի կարգավորումներ, վկայագրի վստահություն կամ հավելվածի մակարդակի թույլատրվածների ցանկ։