Mac-ის VPN, კონტენტის ფილტრი თუ Private Relay: რომელია აქტიური
Mac-ის სამი ქსელური ფენა პარამეტრებში ერთნაირად გამოიყურება. გამოყავით VPN, კონტენტის ფილტრი და Private Relay გასვლის გზით, ნაკადის პოლიტიკითა და დათვალიერების არეალით.
თქვენს Mac-ზე ერთდროულად შეიძლება იყოს დაყენებული VPN გვირაბი, კონტენტის ფილტრი და iCloud Private Relay და არცერთი მათგანი არ აცხადებს, რომელი აყალიბებს კონკრეტულ კავშირს. პარამეტრების პანელები მსგავსად გამოიყურება, ხატულები მსგავსად, და თითქმის ყველა მომწოდებელი თავის პროდუქტს ქსელურ უსაფრთხოებას უწოდებს. სამი ფაქტი გამოჰყოფს მათ: გადის თუ არა ტრაფიკი დისტანციური ბოლო წერტილიდან, რომელსაც თქვენ დაასახელებთ, იღებს თუ არა პოლიტიკის ძრავა დაშვება-თუ-უარის თაობაზე გადაწყვეტილებებს ცალკეულ ნაკადებზე, და ჩერდება თუ არა დაცვა Safari-ზე. ამ სამის გარკვევის შემდეგ ჩემი-VPN-ჩართულია-თუ-არა ტიპის კითხვების უმეტესობა თავისით პასუხდება.
სამი პირობა, რომლებიც კომპონენტს ცნობს
პირველი პირობა გასასვლელია. გვირაბის მომწოდებელი პაკეტებს დისტანციურ კარიბჭეს გადასცემს, ამიტომ თქვენი საჯარო მისამართი იცვლება და, თუ პროფილი ასე ამბობს, ამ კარიბჭის უკან მდებარე ჰოსტები ხელმისაწვდომი ხდება. თუ მისამართი არასოდეს იცვლება და არც ერთი კერძო ქვექსელი არ იხსნება, მოქმედ გვირაბს არ უყურებთ, რაც არ უნდა თქვას მენიუს ზოლმა.
მეორე პირობა გადაწყვეტილებაა. კონტენტის ფილტრი აფასებს ნაკადებს და აბრუნებს დაშვებას ან უარს. მას შეუძლია კატეგორიის ბლოკირების, თითო აპლიკაციის წესის ან დამსაქმებლის მიერ გამოგზავნილი პოლიტიკის აღსრულება და განაჩენის ჟურნალში ჩაწერა. რასაც ის დამოუკიდებლად ვერ აკეთებს, არის ტრაფიკისთვის წასასვლელი ადგილის მიცემა.
მესამე პირობა არეალია. Private Relay იცავს დათვალიერების განსაზღვრულ ნაწილს და არა მთელ მოწყობილობას, და მისი საქმეა გამოყოს, თუ ვინ ხართ იმისგან, რასაც სტუმრობთ, და არა სხვა ქსელზე გადაგიყვანოთ.
დააყენეთ სამივე გვერდიგვერდ და საზღვრების გამოტოვება ძნელია:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
კონტენტის ფილტრი პოლიტიკის ძრავაა, არა გასასვლელი
macOS-ში ფილტრი მოდის როგორც Network Extension, აგებული Apple-ის ფილტრის მონაცემთა მომწოდებლის კლასზე NEFilterDataProvider. მართულ განლაგებაში მას MDM უბიძგებს, ის სისტემურ გაფართოებად დგინდება და ერთხელ მტკიცდება System Settings > General > Login Items and Extensions-ში. იმ მომენტიდან ის ხედავს TCP ნაკადებს, ზოგ კონფიგურაციაში UDP-საც, და თითოეულზე განაჩენს აბრუნებს.
მარცხის რეჟიმია ის, რაც ადამიანებს აბნევს. ნაკადის უარმყოფი ფილტრი ქმნის დროის ამოწურვას, ჩარჩენილ TLS ხელის ჩამორთმევას ან გადატვირთვას, რაც ზუსტად ჰგავს აწეულ, მაგრამ ტრაფიკის გატარებას უძლურ გვირაბს. საჯარო მისამართი არასოდეს შეცვლილა, რადგან არ არსებობდა გასასვლელი, რომელიც შეცვლიდა.
კომერციული კლიენტები ხშირად ორივე როლს აერთიანებენ. ერთი ინსტალატორი მოაქვს გვირაბის მომწოდებელსა და ფილტრს, ბლოკირებას ფილტრი აკეთებს, ხოლო მარშრუტიზაციას გვირაბი. ამიტომ აპლიკაციის სახელი არაფერს გეუბნებათ იმაზე, თუ რომელმა კომპონენტმა უარყო კავშირი. შეამოწმეთ გაფართოებების სია, შემდეგ დაკავშირებული სერვისი, შემდეგ კლიენტის ჟურნალი, სწორედ ამ თანმიმდევრობით.
Private Relay ფარავს Safari-ს და არა მთელ მანქანას
Private Relay დაფარულ დათვალიერებას აგზავნის ორი რელეს მეშვეობით, რომლებსაც ცალკეული მხარეები მართავენ, ასე რომ არც ერთი ოპერატორი არ ფლობს ერთდროულად თქვენს იდენტობასაც და დანიშნულებებსაც. ეს კონფიდენციალურობის დიზაინია, არა გვირაბი: არ არის კარიბჭე, რომელშიც შეხვალთ, არ არის კერძო ქვექსელი და არ არის გზა, დაამაგროთ გასვლის მისამართი თქვენ მიერ არჩეულ ქვეყანაში.
მისი არეალი განზრახ ვიწროა და ფარავს Safari-ის დათვალიერებას მასთან მომავალ DNS მოთხოვნებსა და დაუცველ HTTP ჩატვირთვებთან ერთად. ტერმინალის სესია, ფოსტის კლიენტი, ჩატის აპლიკაცია და თამაშის გამშვები მის გარეთ რჩება. თუ ტერმინალში შემოწმება კვლავ თქვენი წვდომის ქსელის მისამართს აჩვენებს, სანამ Safari რელეს მისამართს აჩვენებს, ეს მოსალოდნელი შედეგია და არა გატეხილი ინსტალაცია.
ხელმისაწვდომობა პირობითია. საჭიროა iCloud+ გეგმა, ის ყველა რეგიონში არ შეთავაზდება და მართულ ქსელს შეუძლია რელეს წვდომის დაბლოკვა, რის შემდეგაც Safari პირდაპირ კავშირზე ბრუნდება. Apple-ის Private Relay-ის მიმოხილვა მიმდინარე არეალის მითითებაა. როცა VPN პროფილი დაკავშირებულია და ამ ტრაფიკს ატარებს, რელე მასზე არ ფენდება; გზას პროფილი წყვეტს.
წაიკითხეთ მტკიცებულებები სწორი თანმიმდევრობით
დაიწყეთ სერვისის მდგომარეობით, რადგან ეს ყველაზე იაფი სიგნალია. scutil --nc list ბეჭდავს კონფიგურირებულ VPN სერვისებს და იმას, დაკავშირებულია თუ არა თითოეული. პროფილი შეიძლება იქ წლების განმავლობაში იწვეს, არასოდეს დაკავშირებულიყოს, და ადამიანები ამას ჩვეულებრივ გვირაბად ითვლიან.
შემდეგ შეხედეთ ინტერფეისებსა და მარშრუტებს. ifconfig აჩვენებს utun ინტერფეისებს, მაგრამ მხოლოდ მათი არსებობა ცოტას ამტკიცებს, რადგან macOS utun-ს VPN-ის გარდა კიდევ რამდენიმე მიზნით იყენებს. მთავარია, მიდის თუ არა ნაგულისხმევი მარშრუტი ერთ-ერთ მათგანში, რასაც route -n get default იტყობინება.
სახელების გარჩევისთვის scutil --dns ჩამოთვლის გამხსნელებს, რომლებსაც სისტემა რეალურად გამოიყენებს, და იქ ჩნდება DNS პროქსის მომწოდებელი. dig +short example.com-ის შედარება dig +short example.com @1.1.1.1-თან გამოყოფს პასუხისმგებელ გამხსნელს ჩაჭერილი გამხსნელისგან.
გაფართოებების აქტივობა ერთიან ჟურნალამდე აღწევს: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. თქვენ ეძებთ, რომელი გაფართოება დაიწყო და შეტყობინა თუ არა ფილტრმა განაჩენი თქვენთვის საინტერესო ნაკადზე, და არა დასამახსოვრებელ სტრიქონს.
შევიწროეთ სიმპტომი, სანამ რამეს გამორთავთ
ჯერ დაახარისხეთ წარუმატებლობა. სახელი, რომელიც არ იხსნება, მაშინვე უარყოფილი კავშირი და დროის ამოწურვამდე ჩამოკიდებული კავშირი სამი სხვადასხვა დაკვირვებაა სამი სხვადასხვა პასუხისმგებლით. გარჩევა მიუთითებს გამხსნელზე ან DNS პროქსიზე. მყისიერი უარი მიუთითებს ფილტრის წესზე. სიჩუმე ჩვეულებრივ მიუთითებს მარშრუტიზაციაზე, ან აწეულ, მაგრამ არგამტარ გვირაბზე.
მართულ Mac-ზე ჩათვალეთ, რომ ფილტრი ორგანიზაციისაა. მისი გამორთვა VPN-ის შესამოწმებლად ხსნის სწორედ იმ კომპონენტს, რომლის დაკვირვებაც გსურდათ, და MDM ხშირად აღადგენს მას შემდეგ შემოწმებაზე. სანამ რამეს შეცვლით, ჰკითხეთ ადმინისტრატორს პოლიტიკის სახელი, და შეამოწმეთ იმ კონკრეტული აპლიკაციით, რომელიც ჩავარდა და არა მთელი სისტემით.
კიდევ ერთი ხაფანგი: VPN-ის შესამოწმებლად Private Relay-ის გამორთვა არაფერს ამბობს უცხო ტრაფიკზე, რადგან რელე ამ ტრაფიკს არასოდეს ფარავდა. ყოველი ფენა უნდა შემოწმდეს იმ აპლიკაციაში, რომელსაც ის ნამდვილად მართავს.
გაიარეთ ეს სია და გაჩერდით პირველ ჩავარდნილ პუნქტზე:
scutil --nc listთქვენ მიერ მოსალოდნელ სერვისს დაკავშირებულად აჩვენებს?- ტერმინალიდან ხილული საჯარო მისამართი განსხვავდება თქვენი წვდომის ქსელის მინიჭებული მისამართისგან?
- ფილტრის გაფართოება დაყენებულია და მან ჩაწერა განაჩენი ჩავარდნად ნაკადზე?
- ჩავარდნა მხოლოდ Safari-შია? თუ ასეა, სანამ გვირაბს დაადანაშაულებთ, შეამოწმეთ რელეს არეალი.
თუ ოთხივე გაივლის და აპლიკაცია მაინც ჩავარდება, პრობლემა ქსელური ფენის ზემოთაა: პროქსის პარამეტრები, სერტიფიკატის ნდობა ან აპლიკაციის დონის ნებადართულთა სია.