Mac VPN, мазмұн сүзгісі немесе Private Relay: қайсысы белсенді
Mac-тың үш желілік қабаты Параметрлерде бірдей көрінеді. Шығу жолы, ағын саясаты және шолу ауқымы арқылы VPN, мазмұн сүзгісі және Private Relay-ді ажыратыңыз.
Mac-ыңызда бір уақытта VPN туннелі, мазмұн сүзгісі және iCloud Private Relay орнатылған болуы мүмкін, және олардың ешқайсысы берілген қосылымды қайсысы қалыптастырып жатқанын хабарламайды. Параметрлер панельдері ұқсас, белгішелер ұқсас көрінеді, және дерлік әрбір жеткізуші өз өнімін желілік қауіпсіздік деп атайды. Үш факт оларды бөледі: трафик өзіңіз атай алатын қашықтағы соңғы нүкте арқылы шыға ма, саясат қозғалтқышы жекелеген ағындар бойынша рұқсат-немесе-қабылдамау шешімдерін қабылдай ма, және қорғаныс Safari-де тоқтай ма. Осы үшеуін реттесеңіз, менің-VPN-ім-қосулы-ма деген сұрақтардың көбі өзінен-өзі жауап табады.
Компонентті танитын үш шарт
Бірінші шарт — шығу. Туннель жеткізушісі пакеттерді қашықтағы шлюзге береді, сондықтан жария мекенжайыңыз өзгереді және, профиль солай десе, сол шлюздің артындағы хосттар қолжетімді болады. Мекенжай ешқашан өзгермесе және ешқандай жеке ішкі желі ашылмаса, мәзір жолағы не десе де, сіз жұмыс істеп тұрған туннельді көріп тұрған жоқсыз.
Екінші шарт — шешім. Мазмұн сүзгісі ағындарды бағалап, рұқсат немесе қабылдамау қайтарады. Ол санатты бұғаттауды, қолданба бойынша ережені немесе жұмыс беруші жіберген саясатты орындай алады және үкімді журналға жаза алады. Ол жалғыз өзі істей алмайтыны — трафикке баратын жер беру.
Үшінші шарт — ауқым. Private Relay бүкіл құрылғыны емес, шолудың белгіленген бөлігін қорғайды, және оның міндеті — сіздің кім екеніңізді неге кіретініңізден ажырату, сізді басқа желіге орналастыру емес.
Үшеуін қатар қойыңыз — шекараларды байқамау қиын:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Мазмұн сүзгісі — саясат қозғалтқышы, шығу емес
macOS-те сүзгі Network Extension ретінде келеді, ол Apple-дың сүзгі деректерін жеткізуші NEFilterDataProvider класына негізделген. Басқарылатын орналастыруда оны MDM итереді, жүйелік кеңейтім ретінде орнатылады және System Settings > General > Login Items and Extensions бөлімінде бір рет мақұлданады. Содан кейін ол TCP ағындарын, кейбір конфигурацияларда UDP-ді де көреді және әрқайсысы бойынша үкім қайтарады.
Шатастыратын нәрсе — істен шығу тәсілі. Ағынды қабылдамайтын сүзгі таймаут, кептелген TLS қол алысу немесе қайта орнату тудырады, бұл көтерілген, бірақ трафикті өткізе алмайтын туннельге дәл ұқсайды. Жария мекенжай ешқашан өзгерген жоқ, өйткені оны өзгертетін шығу болмады.
Коммерциялық клиенттер көбіне екі рөлді біріктіреді. Бір орнатқыш туннель жеткізушісін де, сүзгіні де әкеледі, бұғаттауды сүзгі жасайды, маршруттауды туннель жасайды. Сондықтан қосылымды қай компонент қабылдамағанын қолданба атынан білу мүмкін емес. Кеңейтімдер тізімін, содан кейін қосылған қызметті, содан кейін клиент журналын осы ретпен тексеріңіз.
Private Relay — Safari-ді қамтиды, бүкіл машинаны емес
Private Relay қамтитын шолуды бөлек тараптар басқаратын екі реле арқылы жібереді, сондықтан бірде-бір оператор сіздің жеке басыңызды да, барар жерлеріңізді де бірге ұстамайды. Бұл — құпиялылық дизайны, туннель емес: кіретін шлюз жоқ, жеке ішкі желі жоқ, және өзіңіз таңдаған елде шығу мекенжайын бекітудің жолы жоқ.
Оның ауқымы әдейі тар: Safari шолуын, онымен бірге жүретін DNS сұрауларын және қауіпсіз емес HTTP жүктеулерін қамтиды. Терминал сессиясы, пошта клиенті, чат қолданбасы және ойын іске қосқышы оның сыртында. Егер Терминалдағы тексеру әлі де қатынау желіңіздің мекенжайын көрсетіп, Safari реле мекенжайын көрсетсе, бұл — күтілетін нәтиже, бұзылған орнату емес.
Қолжетімділік шартты. Оған iCloud+ жоспары керек, ол барлық аймақта ұсынылмайды, және басқарылатын желі релеге қатынауды бұғаттай алады, онда Safari тікелей қосылымға қайтады. Apple-дың Private Relay шолуы қазіргі ауқымның анықтамасы. VPN профилі қосылып, сол трафикті тасымалдап жатса, реле оның үстіне қабатталмайды; жолды профиль шешеді.
Дәлелдерді дұрыс ретпен оқыңыз
Қызмет күйінен бастаңыз, өйткені бұл — ең арзан сигнал. scutil --nc list конфигурацияланған VPN қызметтерін және әрқайсысының қосылғанын басып шығарады. Профиль онда ешқашан қосылмай-ақ жылдар бойы тұра алады, ал адамдар мұны әдетте туннель деп санайды.
Содан кейін интерфейстер мен маршруттарға қараңыз. ifconfig utun интерфейстерін көрсетеді, бірақ олардың болуы өзі көп нәрсені дәлелдемейді, өйткені macOS utun-ды VPN-нен басқа да бірнеше мақсатта пайдаланады. Маңыздысы — әдепкі маршрут солардың біреуіне кіре ме, оны route -n get default хабарлайды.
Атауларды шешу үшін scutil --dns жүйе шынымен пайдаланатын шешушілерді тізімдейді, және онда DNS прокси жеткізушісі көрінеді. dig +short example.com мен dig +short example.com @1.1.1.1 салыстыруы жауап беріп жатқан шешушіні ұсталып жатқан шешушіден ажыратады.
Кеңейтімдер белсенділігі біріккен журналға жетеді: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Сіз қай кеңейтімнің басталғанын және сүзгі сізді қызықтыратын ағын бойынша үкім хабарлағанын іздейсіз, жаттап алатын жолды емес.
Бірдеңені өшіруден бұрын симптомды тарылтыңыз
Алдымен ақаулықты жіктеңіз. Шешілмейтін атау, бірден қабылданбаған қосылым және таймаутқа дейін ілініп тұрған қосылым — бұл үш түрлі байқау, үш түрлі жауаптымен. Шешу шешушіге немесе DNS проксиіне нұсқайды. Бірден бас тарту сүзгі ережесіне нұсқайды. Үнсіздік әдетте маршруттауға, немесе көтерілген, бірақ жібермейтін туннельге нұсқайды.
Басқарылатын Mac-те сүзгі ұйымдікі деп есептеңіз. VPN-ді тексеру үшін оны өшіру — бақылағыңыз келген компоненттің өзін алып тастау, ал MDM оны келесі тексеруде жиі қалпына келтіреді. Бірдеңені өзгертуден бұрын әкімшіден саясат атауын сұраңыз және бүкіл жүйемен емес, сәтсіз болған нақты қолданбамен тексеріңіз.
Тағы бір тұзақ: VPN-ді тексеру үшін Private Relay-ді өшіру шетелдік трафик туралы ештеңе айтпайды, өйткені реле бұл трафикті ешқашан қамтымаған. Әр қабатты ол шынымен басқаратын қолданбада тексеру керек.
Осы тізіммен жүріп, бірінші сәтсіз тармақта тоқтаңыз:
scutil --nc listкүткен қызметіңізді қосылған деп көрсете ме?- Терминалдан көрінетін жария мекенжай қатынау желіңіз берген мекенжайдан өзгеше ме?
- Сүзгі кеңейтімі орнатылған ба, және ол сәтсіз ағын бойынша үкім жазды ма?
- Ақаулық тек Safari-де ме? Олай болса, туннельді кінәламас бұрын реленің ауқымын тексеріңіз.
Төртеуі де өтіп, қолданба әлі де сәтсіз болса, мәселе желілік қабаттан жоғары: прокси параметрлері, сертификатқа сенім немесе қолданба деңгейіндегі рұқсат тізімі.