Mac VPN, satura filtrs vai Private Relay: kurš ir aktīvs
Trīs Mac tīkla slāņi iestatījumos izskatās vienādi. Atšķiriet VPN, satura filtru un Private Relay pēc izejas ceļa, plūsmas politikas un pārlūkošanas apjoma.
Jūsu Mac vienlaikus var būt instalēts VPN tunelis, satura filtrs un iCloud Private Relay, un neviens no tiem nepaziņo, kurš veido konkrēto savienojumu. Iestatījumu paneļi izskatās līdzīgi, ikonas izskatās līdzīgi, un gandrīz katrs piegādātājs savu produktu sauc par tīkla drošību. Trīs fakti tos šķir: vai trafiks iziet caur attālu galapunktu, kuru varat nosaukt, vai politikas dzinējs pieņem atļaut-vai-noraidīt lēmumus par atsevišķām plūsmām, un vai aizsardzība apstājas pie Safari. Sakārtojiet šos trīs un lielākā daļa jautājumu vai-mans-VPN-ir-ieslēgts atbild paši.
Trīs nosacījumi, kas identificē komponentu
Pirmais nosacījums ir izeja. Tunelis piegādātājs nodod paketes attālam vārtejam, tāpēc jūsu publiskā adrese mainās un, ja profils tā nosaka, aiz šīs vārtejas esošie saimnieki kļūst sasniedzami. Ja adrese nekad nemainās un neviens privātais apakštīkls neatveras, jūs neskatāties uz strādājošu tuneli, ko vien saka izvēļu josla.
Otrais nosacījums ir lēmums. Satura filtrs novērtē plūsmas un atgriež atļaut vai noraidīt. Tas var izpildīt kategorijas bloķēšanu, noteikumu konkrētai lietotnei vai darba devēja nosūtītu politiku, un tas var reģistrēt spriedumu. Ko tas pats nevar izdarīt, ir dot trafikam vietu, kur iet.
Trešais nosacījums ir apjoms. Private Relay aizsargā noteiktu pārlūkošanas daļu, nevis visu ierīci, un tā uzdevums ir atdalīt to, kas jūs esat, no tā, ko apmeklējat, nevis ievietot jūs citā tīklā.
Novietojiet tos blakus, un robežas ir grūti nepamanīt:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Satura filtrs ir politikas dzinējs, nevis izeja
macOS filtrs nāk kā Network Extension, kas veidots uz Apple filtra datu piegādātāja klases NEFilterDataProvider. Pārvaldītā izvietošanā to uzspiež MDM, tas tiek instalēts kā sistēmas paplašinājums un vienreiz apstiprināts sadaļā System Settings > General > Login Items and Extensions. No tā brīža tas redz TCP plūsmas, un dažās konfigurācijās arī UDP, un atgriež spriedumu par katru.
Kļūmes veids ir tas, kas mulsina cilvēkus. Filtrs, kas noraida plūsmu, rada taimautu, iesprūdušu TLS roku sasaukšanu vai atiestatīšanu, un tas izskatās tieši tāpat kā tunelis, kas ir pacēlies, bet nevar laist cauri trafiku. Publiskā adrese nekad nav mainījusies, jo nekad nebija izejas, kas to mainītu.
Komerciālie klienti bieži apvieno abas lomas. Viens instalētājs piegādā tuneļa piegādātāju un filtru, filtrs veic bloķēšanu, un tunelis veic maršrutēšanu. Tāpēc lietotnes nosaukums jums neko nepasaka par to, kurš komponents noraidīja savienojumu. Pārbaudiet paplašinājumu sarakstu, pēc tam pievienoto pakalpojumu, pēc tam klienta žurnālu, tieši šādā secībā.
Private Relay aptver Safari, nevis visu mašīnu
Private Relay sūta aptverto pārlūkošanu caur diviem relejiem, kurus pārvalda atsevišķas puses, tāpēc neviens atsevišķs operators netur gan jūsu identitāti, gan jūsu galamērķus. Tas ir privātuma dizains, nevis tunelis: nav vārtejas, kurā ieiet, nav privāta apakštīkla, un nav veida, kā piespraust izejas adresi jūsu izvēlētā valstī.
Tā apjoms ir apzināti šaurs: tas aptver Safari pārlūkošanu kopā ar DNS vaicājumiem un nedrošām HTTP ielādēm, kas tam pievienojas. Termināļa sesija, pasta klients, tērzēšanas lietotne un spēļu palaidējs paliek ārpus tā. Ja pārbaude terminālī joprojām rāda jūsu piekļuves tīkla adresi, kamēr Safari rāda releja adresi, tas ir gaidītais rezultāts, nevis salauzta instalācija.
Pieejamība ir nosacīta. Tam nepieciešams iCloud+ plāns, tas netiek piedāvāts visos reģionos, un pārvaldīts tīkls var bloķēt piekļuvi relejam, un tad Safari atgriežas pie tiešā savienojuma. Apple Private Relay pārskats ir pašreizējā apjoma atsauce. Kad VPN profils ir pievienots un pārvadā šo trafiku, relejs netiek uzlikts virsū; ceļu nosaka profils.
Lasiet pierādījumus pareizajā secībā
Sāciet ar pakalpojuma stāvokli, jo tas ir lētākais signāls. scutil --nc list izdrukā konfigurētos VPN pakalpojumus un to, vai katrs ir pievienots. Profils tur var gulēt gadiem ilgi tā arī nepievienojoties, un cilvēki to parasti uzskata par tuneli.
Pēc tam apskatiet saskarnes un maršrutus. ifconfig rāda utun saskarnes, bet vien to klātbūtne maz ko pierāda, jo macOS izmanto utun vairākiem mērķiem ārpus VPN. Svarīgi ir tas, vai noklusējuma maršruts iet uz kādu no tiem, ko ziņo route -n get default.
Vārdu izšķiršanai scutil --dns uzskaita atrisinātājus, kurus sistēma faktiski izmantos, un tur parādās DNS starpniekservera piegādātājs. Salīdzinot dig +short example.com ar dig +short example.com @1.1.1.1, tiek atdalīts atbildošais atrisinātājs no pārtvertā atrisinātāja.
Paplašinājumu aktivitāte nonāk vienotajā žurnālā: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Jūs meklējat, kurš paplašinājums sākās un vai filtrs ziņoja spriedumu par jums svarīgo plūsmu, nevis rindu, kas jāiegaumē.
Sašauriniet simptomu, pirms ko vien ieslēdzat vai izslēdzat
Vispirms klasificējiet kļūmi. Vārds, kas neizšķiras, savienojums, kas tiek nekavējoties noraidīts, un savienojums, kas karājas līdz taimautam, ir trīs dažādi novērojumi ar trim dažādiem atbildīgajiem. Izšķiršana norāda uz atrisinātāju vai DNS starpniekserveri. Tūlītējs noraidījums norāda uz filtra noteikumu. Klusums parasti norāda uz maršrutēšanu vai uz tuneli, kas ir pacēlies, bet nepersūta.
Pārvaldītā Mac uzskatiet, ka filtrs pieder organizācijai. Tā izslēgšana, lai pārbaudītu VPN, noņem tieši to komponentu, kuru gribējāt novērot, un MDM to bieži atjauno nākamajā pārbaudē. Pirms kaut kā maiņas pajautājiet administratoram politikas nosaukumu, un pārbaudiet ar konkrēto lietotni, kas neizdevās, nevis ar visu sistēmu.
Vēl viens slazds: Private Relay izslēgšana, lai pārbaudītu VPN, neko nepasaka par ārvalstu trafiku, jo relejs šo trafiku nekad nav aptvēris. Katrs slānis ir jāpārbauda tajā lietotnē, kuru tas patiešām pārvalda.
Izejiet šo sarakstu un apstājieties pie pirmā neizdevušā punkta:
- Vai
scutil --nc listrāda gaidīto pakalpojumu kā pievienotu? - Vai publiskā adrese, kas redzama terminālī, atšķiras no adreses, ko piešķīra jūsu piekļuves tīkls?
- Vai ir instalēts filtra paplašinājums, un vai tas reģistrēja spriedumu par neizdevušos plūsmu?
- Vai kļūme ir tikai Safari? Ja tā, pirms vainot tuneli, pārbaudiet releja apjomu.
Ja visi četri iztur un lietotne joprojām neizdodas, problēma ir virs tīkla slāņa: starpniekservera iestatījumi, sertifikātu uzticēšanās vai lietotnes līmeņa atļauto saraksts.