Mac VPN, мазмун чыпкасы же Private Relay: кайсынысы активдүү
Mac'тын үч тармактык катмары Параметрлерде бирдей көрүнөт. Чыгуу жолу, агым саясаты жана серептөө камтылышы аркылуу VPN, мазмун чыпкасы жана Private Relay'ди айырмалаңыз.
Mac'ыңызда бир эле учурда VPN туннели, мазмун чыпкасы жана iCloud Private Relay орнотулган болушу мүмкүн, жана алардын эч бири берилген байланышты кайсынысы түзүп жатканын жарыялабайт. Параметрлер панелдери окшош көрүнөт, белгилер окшош көрүнөт, жана дээрлик ар бир жеткирүүчү өз продуктусун тармактык коопсуздук деп атайт. Үч факт аларды бөлөт: трафик өзүңүз атай алган алыскы акыркы чекит аркылуу чыгабы, саясат кыймылдаткычы өзүнчө агымдар боюнча уруксат-же-четке кагуу чечимдерин кабыл алабы, жана коргоо Safari'де токтойбу. Ушул үчөөнү иреттесеңиз, менин-VPN'им-күйүктүүбү деген суроолордун көбү өзүнөн жооп табат.
Компонентти тааныган үч шарт
Биринчи шарт — чыгуу. Туннель жеткирүүчүсү пакеттерди алыскы шлюзга өткөрөт, ошондуктан коомдук дарегиңиз өзгөрөт жана, профиль ошондой десе, ошол шлюздун артындагы хосттор жеткиликтүү болот. Дарек эч качан өзгөрбөсө жана эч кандай жеке ички тармак ачылбаса, меню тилкеси эмне дебесин, сиз иштеп жаткан туннелди көрүп жаткан жоксуз.
Экинчи шарт — чечим. Мазмун чыпкасы агымдарды баалап, уруксат же четке кагуу кайтарат. Ал категорияны бөгөттөөнү, колдонмо боюнча эрежени же жумуш берүүчү жөнөткөн саясатты аткара алат жана чечимди журналга жаза алат. Ал жалгыз өзү кыла албаганы — трафикке бара турган жер берүү.
Үчүнчү шарт — камтылыш. Private Relay бүткүл түзмөктү эмес, серептөөнүн белгиленген бөлүгүн коргойт, жана анын милдети сиз ким экениңизди эмнени көргөнүңүздөн бөлүү, сизди башка тармакка жайгаштыруу эмес.
Үчөөнү катар койсоңуз, чектерди байкабай коюу кыйын:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Мазмун чыпкасы — саясат кыймылдаткычы, чыгуу эмес
macOS'то чыпка Network Extension катары келет, ал Apple'дын чыпка маалыматтарын жеткирүүчү NEFilterDataProvider классына курулган. Башкарылуучу жайгаштырууда аны MDM түртөт, тутумдук кеңейтүү катары орнотулат жана System Settings > General > Login Items and Extensions бөлүмүндө бир жолу бекитилет. Ошондон кийин ал TCP агымдарын, айрым конфигурацияларда UDP'ни да көрөт жана ар бири боюнча чечим кайтарат.
Адамдарды адаштырган нерсе — иштебей калуу ыкмасы. Агымды четке каккан чыпка таймаут, токтоп калган TLS кол алышуу же кайра орнотуу пайда кылат, бул көтөрүлгөн, бирок трафикти өткөрө албаган туннелге так окшош. Коомдук дарек эч качан өзгөргөн эмес, анткени аны өзгөртө турган чыгуу болгон эмес.
Коммерциялык кардарлар көбүнчө эки ролду бириктирет. Бир орноткуч туннель жеткирүүчүсүн да, чыпканы да алып келет, бөгөттөөнү чыпка жасайт, маршруттоону туннель жасайт. Ошондуктан байланышты кайсы компонент четке какканын колдонмо атынан билүү мүмкүн эмес. Кеңейтүүлөр тизмесин, анан туташкан кызматты, анан кардар журналын ушундай тартипте текшериңиз.
Private Relay Safari'ни камтыйт, бүткүл машинаны эмес
Private Relay камтыган серептөөнү өзүнчө тараптар башкарган эки реле аркылуу жөнөтөт, ошондуктан бир да оператор сиздин инсандыгыңызды да, бара турган жерлериңизди да чогуу кармабайт. Бул купуялуулуктун долбоору, туннель эмес: кире турган шлюз жок, жеке ички тармак жок, жана өзүңүз тандаган өлкөдө чыгуу дарегин бекитүүнүн жолу жок.
Анын камтылышы атайын кууш: Safari серебин, ага коштолгон DNS суроолорун жана коопсуз эмес HTTP жүктөөлөрүн камтыйт. Терминал сессиясы, почта кардары, чат колдонмосу жана оюн иштеткичи анын сыртында. Эгер Терминалдагы текшерүү дагы деле кирүү тармагыңыздын дарегин көрсөтүп, Safari реле дарегин көрсөтсө, бул — күтүлгөн натыйжа, бузулган орнотуу эмес.
Жеткиликтүүлүк шарттуу. Ага iCloud+ планы керек, ал бардык аймактарда сунушталбайт, жана башкарылуучу тармак релеге кирүүнү бөгөттөй алат, анда Safari түз байланышка кайтат. Apple'дын Private Relay сереби учурдагы камтылыштын шилтемеси. VPN профили туташып, ошол трафикти алып жатса, реле анын үстүнө катмарланбайт; жолду профиль чечет.
Далилдерди туура тартипте окуңуз
Кызматтын абалынан баштаңыз, анткени бул эң арзан сигнал. scutil --nc list конфигурацияланган VPN кызматтарын жана ар биринин туташканын басып чыгарат. Профиль ал жерде эч качан туташпай эле жылдар бою тура алат, жана адамдар муну адатта туннель деп эсептешет.
Анан интерфейстер менен маршруттарды караңыз. ifconfig utun интерфейстерин көрсөтөт, бирок алардын бар болушу өзү көп нерсени далилдебейт, анткени macOS utun'ду VPN'ден башка да бир нече максатта колдонот. Маанилүүсү — демейки маршрут алардын бирине киреби, муну route -n get default билдирет.
Аттарды чечүү үчүн scutil --dns тутум чындап колдоно турган чечкичтерди тизет, жана ал жерде DNS прокси жеткирүүчүсү көрүнөт. dig +short example.com менен dig +short example.com @1.1.1.1 салыштыруу жооп берип жаткан чечкичти кармалып жаткан чечкичтен ажыратат.
Кеңейтүүлөрдүн активдүүлүгү бириктирилген журналга жетет: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Сиз кайсы кеңейтүү башталганын жана чыпка сизди кызыктырган агым боюнча чечим билдиргенин издеп жатасыз, жаттап ала турган сапты эмес.
Бир нерсени өчүрүүдөн мурун симптомду куушуртуңуз
Алгач бузулушту классификациялаңыз. Чечилбеген ат, дароо четке кагылган байланыш жана таймаутка чейин илинип турган байланыш — бул үч башка байкоо, үч башка жоопкер менен. Чечүү чечкичке же DNS проксисине көрсөтөт. Дароо баш тартуу чыпка эрежесине көрсөтөт. Үнсүздүк адатта маршруттоого, же көтөрүлгөн, бирок жөнөтпөгөн туннелге көрсөтөт.
Башкарылуучу Mac'те чыпка уюмдуку деп эсептеңиз. VPN'ди текшерүү үчүн аны өчүрүү — байкоону каалаган компонентти алып салуу, ал эми MDM аны кийинки текшерүүдө көп учурда калыбына келтирет. Бир нерсени өзгөртүүдөн мурун администратордон саясаттын атын сураңыз жана бүткүл тутум менен эмес, ийгиликсиз болгон так колдонмо менен текшериңиз.
Дагы бир тузак: VPN'ди текшерүү үчүн Private Relay'ди өчүрүү чет өлкөлүк трафик жөнүндө эч нерсе айтпайт, анткени реле бул трафикти эч качан камтыган эмес. Ар бир катмар аны чындап башкарган колдонмодо текшерилиши керек.
Бул тизме боюнча жүрүп, биринчи ийгиликсиз пунктта токтоңуз:
scutil --nc listкүткөн кызматыңызды туташкан деп көрсөтөбү?- Терминалдан көрүнгөн коомдук дарек кирүү тармагыңыз берген даректен өзгөчөбү?
- Чыпка кеңейтүүсү орнотулганбы, жана ал ийгиликсиз агым боюнча чечим жаздыбы?
- Бузулуш Safari'де ганабы? Ошондой болсо, туннелди күнөөлөөдөн мурун реленин камтылышын текшериңиз.
Төртөө тең өтүп, колдонмо дагы деле ийгиликсиз болсо, маселе тармактык катмардан жогору: прокси параметрлери, сертификатка ишеним же колдонмо деңгээлиндеги уруксат тизмеси.