Mac VPN, филтер за содржина или Private Relay: кој е активен
Три мрежни слоја на Mac изгледаат исто во Поставки. Разликувајте VPN, филтер за содржина и Private Relay по излезната патека, политиката на текови и обемот на прелистување.
На вашиот Mac можат истовремено да бидат инсталирани VPN тунел, филтер за содржина и iCloud Private Relay, а ниту еден од нив не објавува кој од нив обликува дадена врска. Панелите за поставки изгледаат слично, иконите изгледаат слично, и речиси секој добавувач го нарекува својот производ мрежна безбедност. Три факти ги раздвојуваат: дали сообраќајот излегува низ далечна крајна точка што можете да ја именувате, дали политика моторот носи одлуки дозволи-или-отфрли за поединечни текови, и дали заштитата запира кај Safari. Средете ги тие три и повеќето прашања дали-мојот-VPN-е-вклучен сами се одговараат.
Три услови што ја идентификуваат компонентата
Првиот услов е излезот. Добавувачот на тунел ги предава пакетите на далечен портал, така што вашата јавна адреса се менува и, ако профилот така вели, домаќините зад тој портал стануваат достапни. Ако адресата никогаш не се смени и не се отвори приватна подмрежа, не гледате работен тунел, што и да вели лентата со мени.
Вториот услов е одлуката. Филтерот за содржина ги оценува тековите и враќа дозволи или отфрли. Може да спроведе блокирање на категорија, правило за поединечна апликација или политика што ја испратил работодавач, и може да ја запише пресудата. Она што не може сам е да му даде на сообраќајот место каде да оди.
Третиот услов е обемот. Private Relay заштитува определен дел од прелистувањето, а не цел уред, и негова задача е да го одвои тоа кој сте од тоа што го посетувате, а не да ве стави на друга мрежа.
Поставете ги трите еден до друг и границите тешко се пропуштаат:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Филтерот за содржина е политика мотор, не излез
На macOS филтерот доаѓа како Network Extension изграден на класата на Apple за добавувач на филтерски податоци NEFilterDataProvider. Во управувано распоредување го турка MDM, се инсталира како системско проширување и се одобрува еднаш во System Settings > General > Login Items and Extensions. Оттогаш ги гледа TCP тековите, а во некои конфигурации и UDP, и враќа пресуда за секој од нив.
Начинот на откажување е она што ги збунува луѓето. Филтер што отфрла тек создава истекување на време, заглавено TLS ракување или ресетирање, што изгледа точно како тунел што се подигнал но не може да пропушти сообраќај. Јавната адреса никогаш не се сменила, зашто никогаш немало излез што би ја сменил.
Комерцијалните клиенти често ги обединуваат двете улоги. Еден инсталатер носи добавувач на тунел и филтер, филтерот блокира, а тунелот насочува. Затоа името на апликацијата не ви кажува ништо за тоа која компонента ја одбила врската. Проверете го списокот со проширувања, потоа поврзаната услуга, потоа дневникот на клиентот, по тој редослед.
Private Relay го покрива Safari, не целата машина
Private Relay го испраќа прелистувањето што го покрива низ два релеи што ги управуваат одделни страни, така што ниту еден оператор не ги држи и вашиот идентитет и вашите одредишта. Тоа е дизајн за приватност, не тунел: нема портал во кој може да се влезе, нема приватна подмрежа и нема начин да се закачи излезна адреса во земја што ќе ја изберете.
Неговиот обем е намерно тесен: го покрива прелистувањето во Safari заедно со DNS барањата и небезбедните HTTP вчитувања што одат со него. Терминалската сесија, клиентот за пошта, апликацијата за разговор и стартувачот на игри стојат надвор. Ако проверка во Терминал досега ја покажува адресата на вашата пристапна мрежа, додека Safari покажува адреса на реле, тоа е очекуваниот резултат, а не расипана инсталација.
Достапноста е условена. Потребен е iCloud+ план, не се нуди во секој регион, и управувана мрежа може да го блокира пристапот до релето, при што Safari се враќа на директна врска. Прегледот на Private Relay од Apple е референца за тековниот обем. Кога VPN профилот е поврзан и го носи тој сообраќај, релето не се наредува врз него; патеката ја одредува профилот.
Читајте ги доказите по правилен редослед
Почнете со состојбата на услугата, зашто тоа е најевтиниот сигнал. scutil --nc list ги печати конфигурираните VPN услуги и дали секоја е поврзана. Профилот може да стои таму со години без никогаш да се поврзе, и луѓето тоа редовно го сметаат за тунел.
Потоа погледнете ги интерфејсите и рутите. ifconfig покажува utun интерфејси, но самото нивно присуство докажува малку, бидејќи macOS го користи utun за повеќе цели освен VPN. Важно е дали стандардната рута води во некој од нив, што го известува route -n get default.
За разрешување на имиња scutil --dns ги наведува решавачите што системот навистина ќе ги користи, и таму се појавува добавувач на DNS прокси. Споредбата на dig +short example.com со dig +short example.com @1.1.1.1 го одвојува решавачот што одговара од решавачот што се пресретнува.
Активноста на проширувањата стигнува до обединетиот дневник: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Барате кое проширување почнало и дали филтерот пријавил пресуда за текот што ве интересира, а не линија за памтење.
Стеснете го симптомот пред да исклучите нешто
Најпрво класифицирајте го дефектот. Име што не се разрешува, врска што веднаш се одбива и врска што виси до истекување на времето се три различни набљудувања со три различни одговорни. Разрешувањето упатува на решавач или DNS прокси. Веднаш одбивање упатува на правило на филтерот. Тишината обично упатува на насочување или на тунел што е подигнат но не препраќа.
На управуван Mac претпоставете дека филтерот и припаѓа на организацијата. Неговото исклучување за да се тестира VPN ја отстранува токму компонентата што сакавте да ја набљудувате, а MDM често ја враќа при следната проверка. Прашајте го администраторот за името на политиката пред да смените нешто, и тестирајте со конкретната апликација што откажала, а не со целиот систем.
Уште една стапица: исклучувањето на Private Relay за да се тестира VPN не кажува ништо за странскиот сообраќај, зашто релето никогаш не го покривало тој сообраќај. Секој слој мора да се тестира во апликацијата што навистина ја управува.
Поминете низ овој список и застанете на првата ставка што откажува:
- Дали
scutil --nc listја покажува очекуваната услуга како поврзана? - Дали јавната адреса видена од Терминал се разликува од адресата што ја доделила вашата пристапна мрежа?
- Дали е инсталирано проширување за филтрирање, и дали запишало пресуда за текот што откажува?
- Дали дефектот е само во Safari? Ако е така, проверете го обемот на релето пред да го обвините тунелот.
Ако сите четири поминат а апликацијата и понатаму откажува, проблемот е над мрежниот слој: поставки за прокси, доверба во сертификат или список на дозволени на ниво на апликација.