VPN á Mac, innihaldssía eða Private Relay: hvert er virkt

Á Macnum þínum geta samtímis verið uppsett VPN-göng, innihaldssía og iCloud Private Relay, og ekkert þeirra tilkynnir hvert þeirra mótar tiltekna tengingu. Stillingagluggarnir líta svipað út, táknin líta svipað út, og nánast hver framleiðandi kallar vöruna sína netöryggi. Þrjár staðreyndir aðskilja þau: hvort umferð fer út um fjarstýrðan endapunkt sem þú getur nefnt, hvort stefnuvél tekur ákvarðanir leyfa-eða-fella á einstökum flæðum, og hvort vörnin stöðvast við Safari. Fáðu þessar þrjár í lag og flestar spurningar um er-VPNið-mitt-í-sambandi svara sér sjálfar.

Þrjú skilyrði sem bera kennsl á hlutinn

Fyrsta skilyrðið er útgangan. Gönguveitandi afhendir pakkana fjarverði, svo opinbert vistfang þitt breytist og, ef sniðið segir svo, verða netþjónar handan þeirrar gáttar aðgengilegir. Ef vistfangið breytist aldrei og ekkert einkanet opnast, ertu ekki að horfa á virk göng, hvað sem valmyndarstikan segir.

Annað skilyrðið er ákvörðunin. Innihaldssía metur flæði og skilar leyfa eða fella. Hún getur framfylgt flokkabanni, reglu fyrir hverja forrit eða stefnu sem vinnuveitandi sendir, og hún getur skráð úrskurðinn. Það sem hún getur ekki ein ger er að gefa umferðinni stað til að fara á.

Þriðja skilyrðið er umfangið. Private Relay verndar skilgreindan hluta vafurs en ekki allt tækið, og hlutverk þess er að aðskilja hver þú ert frá því sem þú heimsækir, ekki að setja þig á annað net.

Setjið þau hlið við hlið og mörkin er erfitt að missa af:

Innihaldssía er stefnuvél, ekki útganga

Á macOS kemur sía sem Network Extension byggt á síudataveitandaklassa Apple, NEFilterDataProvider. Í stýrðri uppsetningu ýtir MDM henni, hún er sett upp sem kerfisviðbót og samþykkt einu sinni undir System Settings > General > Login Items and Extensions. Þaðan af sér hún TCP-flæði, og í sumum stillingum einnig UDP, og skilar úrskurði um hvert þeirra.

Bilunarhátturinn er það sem ruglar fólk. Sía sem fellir flæði framkallar tímannörkun, fastan TLS-handaband eða endurstillingu, sem lítur nákvæmlega út eins og göng sem eru uppi en komast ekki með umferð. Opinbera vistfangið breyttist aldrei, því engin útganga var til að breyta því.

Viðskiptavinir sameina oft bæði hlutverkin. Einn uppsetningaraðili kemur með gönguveitanda og síu, sían blokkar og göngin stýra leiðinni. Þannig segir nafn forritsins þér ekkert um hvaða hluti hafnaði tengingunni. Athugaðu viðbótalistann, síðan tengdu þjónustuna, síðan skrá viðskiptavinarins, í þessari röð.

Private Relay nær yfir Safari, ekki vélina

Private Relay sendir vafrið sem það nær yfir um tvö endurvarp sem rekin eru af aðskildum aðilum, svo enginn einn rekstraraðili heldur bæði auðkenni þín og áfangastaði. Þetta er persónuverndarhönnun, ekki göng: það er engin gátt til að ganga inn um, ekkert einkanet og engin leið að festa útgönguvistfang í landi sem þú velur.

Umfang þess er viljandi þröngt og nær yfir vafur í Safari ásamt DNS-fyrirspurnunum og óöruggu HTTP-hleðslunum sem fylgja. Terminallotan, póstforritið, spjallforritið og leikjastartarinn standa utan þess. Ef athugun í Terminal sýnir enn vistfang aðgangsnetsins þíns á meðan Safari sýnir endurvarpsvistfang, þá er það vænta niðurstaðan, ekki biluð uppsetning.

Framboð er skilyrt. Það þarf iCloud+ áskrift, það er ekki boðið í hverju svæði, og stýrt net getur lokað aðgangi að endurvarpinu, en þá fer Safari aftur í beina tengingu. Yfirlit Apple um Private Relay er viðmiðið fyrir núverandi umfang. Þegar VPN-snið er tengt og flytur þá umferð er endurvarpinu ekki staflað ofan á það; sniðið ræður leiðinni.

Lestu sönnunargögnin í réttri röð

Byrjaðu á stöðu þjónustunnar, því hún er ódýrasta merkið. scutil --nc list prentar stilltu VPN-þjónusturnar og hvort hver er tengd. Snið getur setið þar í ár án þess að vera nokkurn tíma tengt, og fólk telur það reglulega sem göng.

Horfðu svo á viðmót og leiðir. ifconfig sýnir utun-viðmót, en nærvera þeirra ein og sér sannar litla hluti, því macOS notar utun í fleiri tilgangi en VPN. Það sem skiptir máli er hvort sjálfgefna leiðin vísi inn í eitt þeirra, sem route -n get default greinir frá.

Fyrir nafnaupplausn listar scutil --dns upp þá uppljóstra sem kerfið mun raunverulega nota, og DNS-milliliðaveitandi birtist þar. Samanburður á dig +short example.com og dig +short example.com @1.1.1.1 aðgreinir uppljóstarann sem svarar frá uppljóstaranum sem er handsamaður.

Virkni viðbóta berst í sameinaða atburðaskrá: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Þú ert að leita að því hvaða viðbót hófst og hvort sía tilkynnti úrskurð um flæðið sem þér er annt um, ekki línu til að leggja á minnið.

Þrengdu einkennin áður en þú slökkvir á einhverju

Flokkaðu bilunina fyrst. Nafn sem leysist ekki, tenging sem er hafnað undir eins, og tenging sem hangir fram að tímannörkun eru þrjár ólíkar athuganir með þremur ólíkum eigendum. Upplausn bendir til uppljóstara eða DNS-milliliðar. Tafarlaus höfnun bendir til síureglu. Þögn bendir venjulega til leiðastýringar, eða gagna sem eru uppi en miðla ekki.

Á stýrðum Mac skaltu gera ráð fyrir að sían tilheyri stofnuninni. Að slökkva á henni til að prófa VPN fjarlægir hlutinn sem þú vildir fylgjast með, og MDM endurheimtir hana oft við næstu athugun. Spurðu stjórnandann að nafni stefnunnar áður en þú breytir nokkru, og prófaðu með því tiltekna forriti sem brást, ekki öllu kerfinu.

Ein gildra enn: að slökkva á Private Relay til að prófa VPN segir ekkert um erlenda umferð, því endurvarpið náði aldrei yfir þá umferð. Hvert lag verður að prófa í því forriti sem það stjórnar í raun.

Farðu í gegnum þennan lista og stoppaðu á fyrsta atriðinu sem bregst:

• Sýnir scutil --nc list þá þjónustu sem þú átt von á sem tengda?
• Er opinbera vistfangið sem sést í Terminal frábrugðið vistfanginu sem aðgangsnetið þitt úthlutaði?
• Er síuviðbót uppsett, og skráði hún úrskurð fyrir flæðið sem bregst?
• Er bilunin aðeins í Safari? Ef svo er, athugaðu umfang endurvarpsins áður en þú kennir göngunum um.

Ef öll fjögur standast og forritið bregst samt, er vandamálið ofan við netlagið: milliþjónastillingar, traust á skírteini eða leyfislisti á forritsstigi.