Mac VPN, ഉള്ളടക്ക ഫിൽട്ടർ അല്ലെങ്കിൽ Private Relay: ഏതാണ് സജീവം
Mac-ന്റെ മൂന്ന് നെറ്റ്വർക്ക് പാളികൾ Settings-ൽ ഒരുപോലെ തോന്നും. പുറത്തേക്കുള്ള വഴി, ഫ്ലോ നയം, ബ്രൗസിംഗ് പരിധി എന്നിവ ഉപയോഗിച്ച് VPN, ഉള്ളടക്ക ഫിൽട്ടർ, Private Relay എന്നിവ വേർതിരിക്കുക.
നിങ്ങളുടെ Mac-ൽ ഒരേ സമയം ഒരു VPN ടണൽ, ഒരു ഉള്ളടക്ക ഫിൽട്ടർ, iCloud Private Relay എന്നിവ ഇൻസ്റ്റാൾ ചെയ്തിരിക്കാം, ഒരു നിർദ്ദിഷ്ട കണക്ഷനെ ഏതാണ് രൂപപ്പെടുത്തുന്നതെന്ന് അവയൊന്നും അറിയിക്കുന്നില്ല. സെറ്റിംഗ്സ് പാനലുകൾ ഒരുപോലെ തോന്നും, ഐക്കണുകളും ഒരുപോലെ, ഏതാണ്ട് എല്ലാ വിൽപ്പനക്കാരും തങ്ങളുടെ ഉൽപ്പന്നത്തെ നെറ്റ്വർക്ക് സുരക്ഷ എന്ന് വിളിക്കുന്നു. മൂന്ന് വസ്തുതകൾ അവയെ വേർതിരിക്കുന്നു: ട്രാഫിക് നിങ്ങൾക്ക് പേര് പറയാവുന്ന ഒരു വിദൂര അന്തിമ പോയിന്റിലൂടെ പുറത്തുപോകുന്നുണ്ടോ, ഒരു നയ എൻജിൻ വ്യക്തിഗത ഫ്ലോകളിൽ അനുവദിക്കുക-അല്ലെങ്കിൽ-ഉപേക്ഷിക്കുക തീരുമാനങ്ങൾ എടുക്കുന്നുണ്ടോ, സംരക്ഷണം Safari-യിൽ അവസാനിക്കുന്നുണ്ടോ. ഈ മൂന്നും ക്രമീകരിച്ചാൽ എന്റെ-VPN-ഓൺ-ആണോ എന്ന ചോദ്യങ്ങളിൽ മിക്കതും സ്വയം ഉത്തരം നൽകും.
ഘടകത്തെ തിരിച്ചറിയുന്ന മൂന്ന് വ്യവസ്ഥകൾ
ആദ്യ വ്യവസ്ഥ പുറത്തേക്കുള്ള വഴിയാണ്. ഒരു ടണൽ ദാതാവ് പാക്കറ്റുകൾ ഒരു വിദൂര ഗേറ്റ്‌വേയ്ക്ക് കൈമാറുന്നു, അതിനാൽ നിങ്ങളുടെ പൊതു വിലാസം മാറുന്നു, പ്രൊഫൈൽ അങ്ങനെ പറയുന്നുവെങ്കിൽ ആ ഗേറ്റ്‌വേയ്ക്ക് പിന്നിലുള്ള ഹോസ്റ്റുകൾ എത്താവുന്നതാകുന്നു. വിലാസം ഒരിക്കലും മാറുന്നില്ലെങ്കിൽ, ഒരു സ്വകാര്യ സബ്‌നെറ്റും തുറക്കുന്നില്ലെങ്കിൽ, മെനു ബാർ എന്ത് പറഞ്ഞാലും, നിങ്ങൾ പ്രവർത്തിക്കുന്ന ഒരു ടണലല്ല കാണുന്നത്.
രണ്ടാം വ്യവസ്ഥ തീരുമാനമാണ്. ഉള്ളടക്ക ഫിൽട്ടർ ഫ്ലോകൾ വിലയിരുത്തി അനുവദിക്കുക അല്ലെങ്കിൽ ഉപേക്ഷിക്കുക എന്നത് തിരികെ നൽകുന്നു. ഇതിന് ഒരു വിഭാഗം തടയൽ, ഓരോ ആപ്പിനുമുള്ള നിയമം, തൊഴിലുടമ അയച്ച നയം എന്നിവ നടപ്പിലാക്കാനും വിധി രേഖപ്പെടുത്താനും കഴിയും. തനിയെ ചെയ്യാൻ കഴിയാത്തത് ട്രാഫിക്കിന് പോകാൻ ഒരു സ്ഥലം നൽകുക എന്നതാണ്.
മൂന്നാം വ്യവസ്ഥ പരിധിയാണ്. Private Relay ഒരു മുഴുവൻ ഉപകരണത്തെയല്ല, ബ്രൗസിംഗിന്റെ ഒരു നിർദ്ദിഷ്ട ഭാഗത്തെ സംരക്ഷിക്കുന്നു, അതിന്റെ ജോലി നിങ്ങൾ ആരാണ് എന്നതിനെ നിങ്ങൾ സന്ദർശിക്കുന്നതിൽ നിന്ന് വേർതിരിക്കുകയാണ്, മറ്റൊരു നെറ്റ്വർക്കിൽ നിങ്ങളെ വയ്ക്കുകയല്ല.
മൂന്നും ഒരുമിച്ച് വയ്ക്കുക, അതിർത്തികൾ വിട്ടുപോകാൻ പ്രയാസമാണ്:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
ഉള്ളടക്ക ഫിൽട്ടർ ഒരു നയ എൻജിനാണ്, പുറത്തേക്കുള്ള വഴിയല്ല
macOS-ൽ ഫിൽട്ടർ Network Extension ആയി വരുന്നു, അത് Apple-ന്റെ ഫിൽട്ടർ ഡാറ്റാ ദാതാവ് ക്ലാസ് NEFilterDataProvider-നെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്. കൈകാര്യം ചെയ്യുന്ന വിന്യാസത്തിൽ MDM അതിനെ തള്ളുന്നു, സിസ്റ്റം എക്സ്റ്റൻഷനായി ഇൻസ്റ്റാൾ ചെയ്യുന്നു, System Settings > General > Login Items and Extensions-ൽ ഒരിക്കൽ അംഗീകരിക്കുന്നു. അതിനുശേഷം അത് TCP ഫ്ലോകൾ, ചില ക്രമീകരണങ്ങളിൽ UDP-യും കാണുന്നു, ഓരോന്നിനും വിധി തിരികെ നൽകുന്നു.
ആളുകളെ കുഴപ്പത്തിലാക്കുന്നത് പരാജയരീതിയാണ്. ഒരു ഫ്ലോ ഉപേക്ഷിക്കുന്ന ഫിൽട്ടർ സമയപരിധി കഴിയൽ, കുടുങ്ങിയ TLS ഹാൻഡ്ഷേക്ക്, അല്ലെങ്കിൽ പുനഃസജ്ജീകരണം ഉണ്ടാക്കുന്നു, അത് ഉയർന്നുവന്നെങ്കിലും ട്രാഫിക് കടത്തിവിടാൻ കഴിയാത്ത ടണലിനെപ്പോലെ കാണപ്പെടുന്നു. പൊതു വിലാസം ഒരിക്കലും മാറിയില്ല, കാരണം മാറ്റാൻ ഒരു പുറത്തേക്കുള്ള വഴിയും ഉണ്ടായിരുന്നില്ല.
വാണിജ്യ ക്ലയന്റുകൾ പലപ്പോഴും രണ്ട് റോളുകളും ഒരുമിച്ച് കൊണ്ടുവരുന്നു. ഒരു ഇൻസ്റ്റാളർ തന്നെ ടണൽ ദാതാവും ഫിൽട്ടറും കൊണ്ടുവരുന്നു, തടയുന്നത് ഫിൽട്ടറും വഴിതിരിച്ചുവിടുന്നത് ടണലും ചെയ്യുന്നു. അതിനാൽ ഏത് ഘടകം കണക്ഷൻ നിരസിച്ചു എന്ന് ആപ്പിന്റെ പേര് പറയുന്നില്ല. എക്സ്റ്റൻഷനുകളുടെ പട്ടിക, പിന്നെ ബന്ധിപ്പിച്ച സേവനം, പിന്നെ ക്ലയന്റ് ലോഗ്, അതേ ക്രമത്തിൽ പരിശോധിക്കുക.
Private Relay Safari-യെ ഉൾക്കൊള്ളുന്നു, മുഴുവൻ യന്ത്രത്തെയല്ല
Private Relay താൻ ഉൾക്കൊള്ളുന്ന ബ്രൗസിംഗ് വേർതിരിച്ച കക്ഷികൾ നടത്തുന്ന രണ്ട് റിലേകളിലൂടെ അയയ്ക്കുന്നു, അതിനാൽ ഒരു ഓപ്പറേറ്ററുടെ പക്കലും നിങ്ങളുടെ ഐഡന്റിറ്റിയും ലക്ഷ്യസ്ഥാനങ്ങളും ഒരുമിച്ച് ഉണ്ടാകില്ല. ഇത് സ്വകാര്യതാ രൂപകൽപ്പനയാണ്, ടണലല്ല: പ്രവേശിക്കാനുള്ള ഗേറ്റ്‌വേയും ഇല്ല, സ്വകാര്യ സബ്‌നെറ്റും ഇല്ല, നിങ്ങൾ തിരഞ്ഞെടുക്കുന്ന രാജ്യത്ത് പുറത്തേക്കുള്ള വിലാസം പിന്ന് ചെയ്യാനുള്ള വഴിയുമില്ല.
അതിന്റെ പരിധി ബോധപൂർവം ഇടുങ്ങിയതാണ്: Safari ബ്രൗസിംഗും അതിനൊപ്പം വരുന്ന DNS ചോദ്യങ്ങളും സുരക്ഷിതമല്ലാത്ത HTTP ലോഡുകളും ഉൾക്കൊള്ളുന്നു. ടെർമിനൽ സെഷൻ, മെയിൽ ക്ലയന്റ്, ചാറ്റ് ആപ്പ്, ഗെയിം ലോഞ്ചർ എന്നിവ അതിന് പുറത്താണ്. ടെർമിനലിലെ പരിശോധന ഇപ്പോഴും നിങ്ങളുടെ ആക്സസ് നെറ്റ്വർക്കിന്റെ വിലാസം കാണിക്കുകയും Safari റിലേ വിലാസം കാണിക്കുകയും ചെയ്താൽ, അതാണ് പ്രതീക്ഷിത ഫലം, കേടായ ഇൻസ്റ്റാളല്ല.
ലഭ്യത വ്യവസ്ഥാധീനമാണ്. ഇതിന് iCloud+ പ്ലാൻ ആവശ്യമാണ്, എല്ലാ പ്രദേശങ്ങളിലും വാഗ്ദാനം ചെയ്യുന്നില്ല, കൈകാര്യം ചെയ്യുന്ന നെറ്റ്വർക്കിന് റിലേ ആക്സസ് തടയാം, അങ്ങനെയെങ്കിൽ Safari നേരിട്ടുള്ള കണക്ഷനിലേക്ക് മടങ്ങുന്നു. നിലവിലെ പരിധിക്ക് Apple-ന്റെ Private Relay അവലോകനം അവലംബമാണ്. ഒരു VPN പ്രൊഫൈൽ ബന്ധിപ്പിച്ച് ആ ട്രാഫിക് വഹിക്കുമ്പോൾ, റിലേ അതിന് മുകളിൽ പാളിയായി വരുന്നില്ല; വഴി പ്രൊഫൈൽ തീരുമാനിക്കുന്നു.
തെളിവുകൾ ശരിയായ ക്രമത്തിൽ വായിക്കുക
സേവനത്തിന്റെ അവസ്ഥയിൽ തുടങ്ങുക, കാരണം അതാണ് ഏറ്റവും വിലകുറഞ്ഞ സൂചന. scutil --nc list ക്രമീകരിച്ച VPN സേവനങ്ങളും ഓരോന്നും ബന്ധിപ്പിച്ചിട്ടുണ്ടോ എന്നും പ്രിന്റ് ചെയ്യുന്നു. ഒരു പ്രൊഫൈൽ ഒരിക്കലും ബന്ധിപ്പിക്കാതെ വർഷങ്ങളോളം അവിടെ കിടക്കാം, ആളുകൾ അതിനെ സ്ഥിരമായി ടണലായി കണക്കാക്കുന്നു.
പിന്നെ ഇന്റർഫേസുകളും റൂട്ടുകളും നോക്കുക. ifconfig utun ഇന്റർഫേസുകൾ കാണിക്കുന്നു, പക്ഷേ അവയുടെ സാന്നിധ്യം മാത്രം കൂടുതലൊന്നും തെളിയിക്കുന്നില്ല, കാരണം macOS VPN-ന് പുറമേ പല ആവശ്യങ്ങൾക്കും utun ഉപയോഗിക്കുന്നു. പ്രധാനം ഡിഫോൾട്ട് റൂട്ട് അവയിലൊന്നിലേക്ക് പോകുന്നുണ്ടോ എന്നതാണ്, അത് route -n get default റിപ്പോർട്ട് ചെയ്യുന്നു.
പേര് നിർണ്ണയത്തിന് scutil --dns സിസ്റ്റം യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന റിസോൾവറുകൾ പട്ടികപ്പെടുത്തുന്നു, അവിടെ DNS പ്രോക്സി ദാതാവ് പ്രത്യക്ഷപ്പെടുന്നു. dig +short example.com എന്നതിനെ dig +short example.com @1.1.1.1 മായി താരതമ്യം ചെയ്യുന്നത് ഉത്തരം നൽകുന്ന റിസോൾവറെ തടഞ്ഞുവയ്ക്കപ്പെടുന്ന റിസോൾവറിൽ നിന്ന് വേർതിരിക്കുന്നു.
എക്സ്റ്റൻഷൻ പ്രവർത്തനം ഏകീകൃത ലോഗിലേക്ക് എത്തുന്നു: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. ഏത് എക്സ്റ്റൻഷൻ ആരംഭിച്ചു, നിങ്ങൾക്ക് പ്രധാനമായ ഫ്ലോയിൽ ഫിൽട്ടർ ഒരു വിധി റിപ്പോർട്ട് ചെയ്തുവോ എന്നതാണ് നിങ്ങൾ തിരയുന്നത്, മനഃപാഠമാക്കാനുള്ള ഒരു വരിയല്ല.
എന്തെങ്കിലും പ്രവർത്തനരഹിതമാക്കുന്നതിന് മുമ്പ് ലക്ഷണം ചുരുക്കുക
ആദ്യം പരാജയം വർഗ്ഗീകരിക്കുക. പരിഹരിക്കാത്ത പേര്, ഉടനടി നിരസിക്കപ്പെട്ട കണക്ഷൻ, സമയപരിധി വരെ തൂങ്ങിക്കിടക്കുന്ന കണക്ഷൻ എന്നിവ മൂന്ന് വ്യത്യസ്ത നിരീക്ഷണങ്ങളാണ്, മൂന്ന് വ്യത്യസ്ത ഉത്തരവാദികളോടെ. പരിഹാരം ഒരു റിസോൾവറിനെയോ DNS പ്രോക്സിയെയോ സൂചിപ്പിക്കുന്നു. ഉടനടിയുള്ള നിരസിക്കൽ ഫിൽട്ടർ നിയമത്തെ സൂചിപ്പിക്കുന്നു. നിശ്ശബ്ദത സാധാരണയായി റൂട്ടിംഗിനെയോ, ഉയർന്നുവന്നെങ്കിലും കൈമാറാത്ത ടണലിനെയോ സൂചിപ്പിക്കുന്നു.
കൈകാര്യം ചെയ്യുന്ന Mac-ൽ ഫിൽട്ടർ സംഘടനയുടേതാണെന്ന് കരുതുക. VPN പരിശോധിക്കാൻ അത് പ്രവർത്തനരഹിതമാക്കുന്നത് നിരീക്ഷിക്കാൻ ആഗ്രഹിച്ച ഘടകത്തെത്തന്നെ നീക്കം ചെയ്യുന്നു, MDM അടുത്ത പരിശോധനയിൽ അത് പലപ്പോഴും പുനഃസ്ഥാപിക്കുന്നു. എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് അഡ്മിനിസ്ട്രേറ്ററോട് നയത്തിന്റെ പേര് ചോദിക്കുക, മുഴുവൻ സിസ്റ്റത്തിന് പകരം പരാജയപ്പെട്ട ആ പ്രത്യേക ആപ്പ് ഉപയോഗിച്ച് പരിശോധിക്കുക.
ഒരു കെണി കൂടി: VPN പരിശോധിക്കാൻ Private Relay ഓഫ് ചെയ്യുന്നത് വിദേശ ട്രാഫിക്കിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല, കാരണം റിലേ ആ ട്രാഫിക് ഒരിക്കലും ഉൾക്കൊണ്ടിരുന്നില്ല. ഓരോ പാളിയും അത് യഥാർത്ഥത്തിൽ ഭരിക്കുന്ന ആപ്പിൽ പരിശോധിക്കണം.
ഈ പട്ടികയിലൂടെ പോകുക, ആദ്യം പരാജയപ്പെടുന്ന ഇനത്തിൽ നിർത്തുക:
scutil --nc listനിങ്ങൾ പ്രതീക്ഷിക്കുന്ന സേവനത്തെ ബന്ധിപ്പിച്ചതായി കാണിക്കുന്നുണ്ടോ?- ടെർമിനലിൽ നിന്ന് കാണുന്ന പൊതു വിലാസം നിങ്ങളുടെ ആക്സസ് നെറ്റ്വർക്ക് നൽകിയ വിലാസത്തിൽ നിന്ന് വ്യത്യസ്തമാണോ?
- ഒരു ഫിൽട്ടർ എക്സ്റ്റൻഷൻ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ടോ, പരാജയപ്പെടുന്ന ഫ്ലോയ്ക്ക് അത് വിധി രേഖപ്പെടുത്തിയിട്ടുണ്ടോ?
- പരാജയം Safari-യിൽ മാത്രമാണോ? അങ്ങനെയെങ്കിൽ, ടണലിനെ കുറ്റപ്പെടുത്തുന്നതിന് മുമ്പ് റിലേയുടെ പരിധി പരിശോധിക്കുക.
നാലും കടന്നുപോയിട്ടും ആപ്പ് പരാജയപ്പെടുന്നുവെങ്കിൽ, പ്രശ്നം നെറ്റ്വർക്ക് പാളിക്ക് മുകളിലാണ്: പ്രോക്സി ക്രമീകരണങ്ങൾ, സർട്ടിഫിക്കറ്റ് വിശ്വാസം, അല്ലെങ്കിൽ ആപ്പ് തലത്തിലുള്ള അനുവദനീയ പട്ടിക.