„Mac“ VPN, turinio filtras ar „Private Relay“: kas aktyvu
Trys „Mac“ tinklo sluoksniai nustatymuose atrodo vienodai. Atskirkite VPN, turinio filtrą ir „Private Relay“ pagal išėjimo kelią, srauto politiką ir naršymo apimtį.
Jūsų „Mac“ vienu metu gali būti įdiegta VPN tunelis, turinio filtras ir „iCloud Private Relay“, ir nė vienas jų neskelbia, kuris formuoja konkrečią jungtį. Nustatymų skydeliai atrodo panašiai, piktogramos atrodo panašiai, ir beveik kiekvienas tiekėjas savo produktą vadina tinklo saugumu. Trys faktai juos skiria: ar srautas išeina per nuotolinį galinį tašką, kurį galite įvardyti, ar politikos variklis priima leisti-ar- atmesti sprendimus atskiriems srautams, ir ar apsauga sustoja ties „Safari“. Sutvarkykite šiuos tris ir dauguma klausimų ar-mano-VPN-įjungtas atsako patys.
Trys sąlygos, atpažįstančios komponentą
Pirmoji sąlyga – išėjimas. Tunelio tiekėjas perduoda paketus nuotoliniam šliuzui, todėl jūsų viešasis adresas keičiasi ir, jei profilis taip nurodo, už to šliuzo esantys mazgai tampa pasiekiami. Jei adresas niekada nesikeičia ir jokia privati potinklis neatsidaro, jūs nematote veikiančio tunelio, ką bebūtų rašoma meniu juostoje.
Antroji sąlyga – sprendimas. Turinio filtras įvertina srautus ir grąžina leisti arba atmesti. Jis gali vykdyti kategorijos blokavimą, taisyklę konkrečiai programai arba darbdavio siųstą politiką, ir gali registruoti nuosprendį. Ko jis pats negali, tai duoti srautui vietą, kur eiti.
Trečioji sąlyga – apimtis. „Private Relay“ saugo apibrėžtą naršymo dalį, o ne visą įrenginį, ir jo užduotis yra atskirti, kas esate, nuo to, ką lankote, o ne perkelti jus į kitą tinklą.
Pastatykite juos vieną šalia kito ir ribas sunku nepastebėti:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Turinio filtras yra politikos variklis, o ne išėjimas
„macOS“ filtras ateina kaip „Network Extension“, pastatytas ant „Apple“ filtrų duomenų teikėjo klasės NEFilterDataProvider. Valdomame diegime jį stumia MDM, jis įdiegiamas kaip sistemos plėtinys ir vieną kartą patvirtinamas skiltyje System Settings > General > Login Items and Extensions. Nuo tada jis mato TCP srautus, o kai kuriose konfigūracijose ir UDP, ir kiekvienam grąžina nuosprendį.
Gedimo būdas ir yra tai, kas klaidina žmones. Filtras, atmetantis srautą, sukelia laiko limitą, įstrigusį TLS rankos paspaudimą arba atstatymą, o tai atrodo lygiai kaip tunelis, kuris pakilo, bet nepraleidžia srauto. Viešasis adresas niekada nepasikeitė, nes nebuvo jokio išėjimo, kuris jį pakeistų.
Komerciniai klientai dažnai sujungia abu vaidmenis. Vienas diegėjas pateikia tunelio tiekėją ir filtrą, filtras blokuoja, o tunelis nukreipia. Taigi programos pavadinimas nieko nesako apie tai, kuris komponentas atmetė jungtį. Patikrinkite plėtinių sąrašą, tada prijungtą paslaugą, tada kliento žurnalą, būtent tokia tvarka.
„Private Relay“ apima „Safari“, o ne visą kompiuterį
„Private Relay“ siunčia apimamą naršymą per du relius, kuriuos valdo atskiros šalys, todėl nė vienas operatorius neturi kartu ir jūsų tapatybės, ir jūsų paskirčių. Tai privatumo dizainas, o ne tunelis: nėra šliuzo, į kurį galėtumėte įeiti, nėra privačios potinklio, ir nėra būdo prisegti išėjimo adresą jūsų pasirinktoje šalyje.
Jo apimtis sąmoningai siaura: apima „Safari“ naršymą kartu su DNS užklausomis ir nesaugiais HTTP įkėlimais, kurie prie to priskiriami. Terminalo sesija, pašto klientas, pokalbių programa ir žaidimų paleidiklis lieka už jos ribų. Jei patikra terminale vis dar rodo jūsų prieigos tinklo adresą, o „Safari“ rodo relio adresą, tai ir yra laukiamas rezultatas, o ne sugedęs diegimas.
Prieinamumas yra sąlyginis. Reikia „iCloud+“ plano, jis siūlomas ne visuose regionuose, o valdomas tinklas gali blokuoti prieigą prie relio, ir tokiu atveju „Safari“ grįžta prie tiesioginės jungties. „Apple“ „Private Relay“ apžvalga yra dabartinės apimties nuoroda. Kai VPN profilis prijungtas ir neša tą srautą, relis nesluoksniuojamas ant jo; kelią nusprendžia profilis.
Skaitykite įrodymus teisinga tvarka
Pradėkite nuo paslaugos būsenos, nes tai pigiausias signalas. scutil --nc list atspausdina sukonfigūruotas VPN paslaugas ir ar kiekviena prijungta. Profilis gali ten gulėti metų metus taip ir neprisijungęs, ir žmonės įprastai tai laiko tuneliu.
Tada pažiūrėkite į sąsajas ir maršrutus. ifconfig rodo utun sąsajas, bet vien jų buvimas mažai ką įrodo, nes „macOS“ naudoja utun ne tik VPN tikslams. Svarbu, ar numatytasis maršrutas eina į vieną iš jų, ką praneša route -n get default.
Vardų sprendimui scutil --dns išvardija sprendiklius, kuriuos sistema iš tikrųjų naudos, ir ten pasirodo DNS tarpinio serverio teikėjas. Palyginus dig +short example.com su dig +short example.com @1.1.1.1, atskiriamas atsakantis sprendiklis nuo perimamo sprendiklio.
Plėtinių veikla pasiekia suvienytą žurnalą: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Jūs ieškote, kuris plėtinys pradėjo veikti ir ar filtras pranešė nuosprendį apie jums rūpimą srautą, o ne eilutės, kurią reikia įsiminti.
Susiaurinkite simptomą, prieš ką nors išjungdami
Pirmiausia klasifikuokite gedimą. Nesusitvarkantis vardas, iškart atmesta jungtis ir iki laiko limito kabanti jungtis yra trys skirtingi stebėjimai su trimis skirtingais atsakingais. Sprendimas nurodo į sprendiklį arba DNS tarpinį serverį. Tiesioginis atmetimas nurodo į filtro taisyklę. Tyla paprastai nurodo į maršrutizavimą arba į tunelį, kuris pakilęs, bet nepersiunčia.
Valdomame „Mac“ laikykite, kad filtras priklauso organizacijai. Jo išjungimas norint išbandyti VPN pašalina būtent tą komponentą, kurį norėjote stebėti, o MDM dažnai jį atkuria kitos patikros metu. Prieš ką nors keisdami, paklauskite administratoriaus politikos pavadinimo, ir tikrinkite su ta konkrečia programa, kuri nepavyko, o ne su visa sistema.
Dar viena spąstai: „Private Relay“ išjungimas norint išbandyti VPN nieko nesako apie užsienio srautą, nes relis jo niekada neapėmė. Kiekvieną sluoksnį reikia tikrinti toje programoje, kurią jis iš tiesų valdo.
Pereikite šį sąrašą ir sustokite ties pirmuoju nepavykusiu punktu:
- Ar
scutil --nc listrodo laukiamą paslaugą kaip prijungtą? - Ar viešasis adresas, matomas terminale, skiriasi nuo adreso, kurį priskyrė jūsų prieigos tinklas?
- Ar įdiegtas filtro plėtinys, ir ar jis užregistravo nuosprendį dėl nepavykstančio srauto?
- Ar gedimas tik „Safari“? Jei taip, prieš kaltindami tunelį patikrinkite relio apimtį.
Jei visi keturi praeina, o programa vis tiek nepavyksta, problema yra aukščiau tinklo sluoksnio: tarpinio serverio nustatymai, sertifikatų pasitikėjimas arba programos lygio leidžiamų sąrašas.