Mac-VPN, Inhaltfilter oder Private Relay: wat ass aktiv
Dräi Netzwierkschichten um Mac gesinn an den Astellungen d'selwecht aus. Ënnerscheet VPN, Inhaltfilter a Private Relay um Ausgangswee, der Fluxpolitik an dem Browsingsëmfang.
Äre Mac kann gläichzäiteg en VPN-Tunnel, en Inhaltfilter an iCloud Private Relay installéiert hunn, an keen dovun seet, wéien eng bestëmmte Verbindung gestalt. D'Astellungsfënsteren gesinn ähnlech aus, d'Ikonen och, an bal all Hiersteller nennt säi Produkt Netzwiersécherheet. Dräi Fakten trennen se: ob den Trafik duerch en entfernten Endpunkt geet, deen dir nenne kënnt, ob eng Politikmaschinn Entscheedungen zoustëmmen-oder-verwerfen op eenzelen Flëss hëlt, an ob de Schutz beim Safari ophält. Bréng déi dräi an d'Rei an déi meescht Froen ob-mäi-VPN-un-ass beäntweren sech selwer.
Dräi Konditiounen, déi d'Komponent identifizéieren
Déi éischt Konditioun ass den Ausgang. En Tunnel-Provider gëtt d'Paketen un en entfernte Gateway weider, dofir ännert sech Är ëffentlech Adress an, wann de Profil et seet, ginn d'Hoste hannert deem Gateway erreechbar. Wann d'Adress ni ännert an keen private Subnetz opgeet, kuckt Dir keen funktionéierenden Tunnel, wat d'Menübar och seet.
Déi zweet Konditioun ass d'Entscheedung. En Inhaltfilter bewäert Flëss a gëtt zoustëmmen oder verwerfen zréck. En kann eng Kategorieblockéierung, eng Reegel pro App oder eng Politik, déi en Employeur geschéckt huet, duerchsetzen, an en kann den Urteel loggen. Wat en eleng net kann, ass dem Trafik en Uert ze ginn, wou en higeet.
Déi drëtt Konditioun ass den Ëmfang. Private Relay schützt en definéierten Deel vum Browsen an net en ganzt Gerät, an seng Aufgab ass, wien Dir sidd vun deem ze trennen, wat Dir besicht, net Iech op en anert Netzwierk ze setzen.
Setzt se niewenteneen an d'Grenze si schwéier ze iwwersinn:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
En Inhaltfilter ass eng Politikmaschinn, keen Ausgang
Op macOS kënnt e Filter als Network Extension, gebaut op Apple senger Filterdateprovider-Klass NEFilterDataProvider. An enger verwaltener Ausrollung gëtt en vum MDM gedréckt, als Systemerweiderung installéiert an eng Kéier ënner System Settings > General > Login Items and Extensions genehmegt. Vun do un gesäit en TCP-Flëss, an a verschiddene Konfiguratiounen och UDP, a gëtt fir jidderee vun hinne en Urteel zréck.
D'Feelermodus ass dat, wat d'Leit verwirrt. En Filter, deen e Floss verwërft, produzéiert en Timeout, en hänkege TLS-Handshake oder en Reset, wat genee wéi en Tunnel ausgesäit, deen ugehuewen ass awer keen Trafik duerchléisst. D'ëffentlech Adress huet sech ni geännert, well et ni en Ausgang gouf fir se z'änneren.
Kommerziell Cliente bëndelen dacks béid Rollen. En eenzegen Installateur bréngt Tunnel-Provider a Filter, de Filter blockéiert an den Tunnel routeet. Den Applikatiounsnumm seet Iech also näischt doriwwer, wéi eng Komponent d'Verbindung ofgeleent huet. Kuckt d'Lëscht vun den Erweiderungen, dann den ugeschlossene Service, dann de Clientlog, an där Reihenfolge.
Private Relay deckt Safari of, net d'Maschinn
Private Relay schéckt dat Browsen, dat en deckt, duerch zwee Relaisen, déi vu getrennte Parteien bedriwwe ginn, sou datt keen eenzegen Operateur souwuel Är Identitéit wéi och Är Destinatiounen huet. Dat ass eng Privatsphär-Design, keen Tunnel: et gëtt keen Gateway, an deen Dir erakënnt, keen private Subnetz, an et gëtt keng Manéier, eng Ausgangsadress an engem Land vun Ärer Wiel festzeleeën.
Säin Ëmfang ass bewosst schmuel: en deckt d'Safari-Browsen zesumme mat den DNS-Ufroen an den onsécheren HTTP-Lueden, déi dozou gehéieren. Eng Terminalsitzung, e Mailclient, eng Chat-App an e Spilllauncher stinn dobaussen. Wann eng Kontroll am Terminal nach ëmmer d'Adress vun Ärem Zougangsnetzwierk weist, während Safari eng Relaisadress weist, dann ass dat dat erwaart Resultat, keng futti Installatioun.
D'Disponibilitéit ass bedingt. Et brauch en iCloud+-Plang, et gëtt net a jiddwer Regioun ugebueden, an en verwaltent Netzwierk kann den Zougang zum Relais blockéieren, an deem Fall fält Safari op eng direkt Verbindung zréck. Apple seng Iwwersiicht vu Private Relay ass d'Referenz fir den aktuellen Ëmfang. Wa e VPN-Profil verbonnen ass an deen Trafik dréit, gëtt d'Relais net dropgestapelt; de Profil entscheet de Wee.
Liest d'Beweiser an der richteger Reihenfolge
Fänkt mam Servicezoustand un, well dat dee bëllegste Signal ass. scutil --nc list dréckt déi konfiguréiert VPN-Servicer aus an ob jiddwereen verbonnen ass. E Profil kann do Joeren hiale goen ouni sech je ze verbannen, an d'Leit zielen dat routineméisseg als Tunnel.
Kuckt dann op Schnëttstell a Routen. ifconfig weist utun-Schnëttstellen, awer hir Präsenz eleng beweise wéineg, well macOS utun fir méi Zwecker wéi VPN benotzt. Wat zielt ass, ob d'Standardroute an eng dovun geet, wat route -n get default mëttelt.
Fir d'Nimm-Opléisung lëscht scutil --dns d'Resolvere op, déi de System tatsächlech benotzt, an do erschéngt en DNS-Proxy-Provider. D'Vergläiche vun dig +short example.com mat dig +short example.com @1.1.1.1 trennt de Resolver, deen äntwert, vun deem, deen ofgefaangen gëtt.
D'Aktivitéit vun den Erweiderungen erreecht de vereente Log: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Dir sicht, wéi eng Erweiderung ugefaangen huet an ob e Filter en Urteel iwwer de Floss gemellt huet, deen Iech wichteg ass, net eng Linn zum Auswenneg léieren.
Maacht de Symptom méi schmuel, ier Dir eppes desaktivéiert
Klassifizéiert d'Feelfunktioun als éischt. En Numm, deen net opgeléist gëtt, eng Verbindung, déi direkt verworf gëtt, an eng Verbindung, déi bis zum Timeout hänkt, sinn dräi verschidden Observatiounen mat dräi verschiddene Responsabelen. D'Opléisung weist op e Resolver oder en DNS-Proxy. Déi direkt Verweigerung weist op eng Filterregel. Stëllt weist meeschtens op Routing, oder op en Tunnel, deen ugehuewen ass awer net weidergëtt.
Op engem verwaltenten Mac geht dovun aus, datt de Filter der Organisatioun gehéiert. En desaktivéiere fir de VPN ze testen hëlt d'Komponent ewech, déi Dir wëllt observéieren, an den MDM stellt en dacks beim nächsten Check-in erëm hier. Frot den Administrateur nom Numm vun der Politik, ier Dir eppes ännert, a testt mat der spezifescher App, déi versot huet, amplaz mam ganze System.
Nach eng Fal: Private Relay ausschalten fir e VPN ze testen seet näischt iwwer auslänneschen Trafik, well d'Relais deen Trafik ni gedeckt huet. All Schicht muss an där App getest ginn, déi se tatsächlech regéiert.
Gitt dës Lëscht duerch a stoppt bei deem éischten Element, dat versot:
- Weist
scutil --nc listde Service, deen Dir erwaart, als verbonnen? - Ënnerscheet sech déi ëffentlech Adress, déi een am Terminal gesäit, vun der Adress, déi Äert Zougangsnetzwierk zougewisen huet?
- Ass eng Filtererweiderung installéiert, an huet se en Urteel fir de Floss, deen versot, geloggt?
- Ass de Feeler just am Safari? Wann jo, kontrolléiert den Ëmfang vun der Relais, ier Dir den Tunnel beschëllegt.
Wa béid véier duerchginn an d'App nach ëmmer versot, läit de Problem iwwer der Netzwierschicht: Proxyelektellungen, Zertifikatsvertrauen oder eng Erlaabneslëscht op Applikatiounsniveau.