Mac VPN, агуулгын шүүлтүүр эсвэл Private Relay: аль нь идэвхтэй
Mac-ийн гурван сүлжээний давхарга Тохиргоонд ижил харагдана. Гарах зам, урсгалын бодлого, хөтлөлтийн хүрээгээр VPN, агуулгын шүүлтүүр, Private Relay-г ялгана.
Таны Mac дээр VPN туннель, агуулгын шүүлтүүр, iCloud Private Relay зэрэг суулгагдсан байж болох бөгөөд тэдгээрийн аль нь ч тухайн холболтыг аль нь бүрдүүлж байгааг мэдэгдэхгүй. Тохиргооны панелууд ижил харагдана, дүрснүүд ижил харагдана, бараг бүх нийлүүлэгч бүтээгдэхүүнээ сүлжээний аюулгүй байдал гэж нэрлэдэг. Гурван баримт тэдгээрийг ялгана: трафик таны нэрлэж чадах алсын төгсгөлийн цэгээр гарч байгаа эсэх, бодлогын хөдөлгүүр тусдаа урсгал бүрд зөвшөөрөх-эсвэл-татгалзах шийдвэр гаргаж байгаа эсэх, хамгаалалт Safari дээр зогсож байгаа эсэх. Эдгээрийг эмхэлж чадвал миний-VPN-асаалттай-юу гэсэн асуултын ихэнх нь өөрөө хариулагдана.
Бүрэлдэхүүнийг таних гурван нөхцөл
Эхний нөхцөл бол гарах зам. Туннелийн нийлүүлэгч пакетуудыг алсын гарц руу шилжүүлдэг тул таны нийтийн хаяг өөрчлөгдөж, профайл тэгж зааж байвал тэр гарцын ард байгаа хостнууд хүртээмжтэй болно. Хаяг хэзээ ч өөрчлөгдөхгүй, ямар ч хувийн дэд сүлжээ нээгдэхгүй бол цэсний мөр юу ч гэсэн та ажиллаж буй туннель харж байгаа юм биш.
Хоёр дахь нөхцөл бол шийдвэр. Агуулгын шүүлтүүр урсгалуудыг үнэлж зөвшөөрөх эсвэл татгалзах буцаана. Энэ нь ангилал хаах, апп тус бүрийн дүрэм эсвэл ажил олгогчийн илгээсэн бодлогыг хэрэгжүүлж, шийдвэрийг бүртгэж чадна. Ганцаараа хийж чадахгүй зүйл нь трафикт явах газар өгөх юм.
Гурав дахь нөхцөл бол хүрээ. Private Relay бүх төхөөрөмжийг биш, хөтлөлтийн тодорхой хэсгийг хамгаалдаг бөгөөд түүний үүрэг нь та хэн бэ гэдгийг та юу үзэж байгаагаас тусгаарлах, таныг өөр сүлжээнд байрлуулах биш.
Гурвыг зэрэгцүүлэн тавьбал хил хязгаарыг алдахад хэцүү:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Агуулгын шүүлтүүр бол бодлогын хөдөлгүүр, гарах зам биш
macOS дээр шүүлтүүр нь Apple-ийн шүүлтүүрийн өгөгдөл нийлүүлэгч NEFilterDataProvider класс дээр баригдсан Network Extension хэлбэрээр ирдэг. Удирдлагатай байршуулалтад MDM түүнийг түлхэж, системийн өргөтгөл болгон суулгаж, System Settings > General > Login Items and Extensions хэсэгт нэг удаа зөвшөөрдөг. Түүнээс хойш TCP урсгалуудыг, зарим тохиргоонд UDP-г ч харж, тус бүрд нь шийдвэр буцаана.
Хүмүүсийг төөрөгдүүлдэг нь бүтэлгүйтлийн хэлбэр. Урсгалыг татгалзсан шүүлтүүр хугацаа хэтрэх, гацсан TLS гар барилт эсвэл дахин тохируулга үүсгэдэг бөгөөд энэ нь боссон боловч трафик дамжуулж чадахгүй туннельтай яг адил харагдана. Нийтийн хаяг хэзээ ч өөрчлөгдөөгүй, учир нь түүнийг өөрчлөх гарах зам байгаагүй.
Арилжааны клиентүүд ихэвчлэн хоёр үүргийг нэгтгэдэг. Нэг суулгагч туннелийн нийлүүлэгч болон шүүлтүүрийг авчирдаг, хаалтыг шүүлтүүр, маршрутыг туннель хийдэг. Тиймээс аппын нэр холболтыг аль бүрэлдэхүүн татгалзсаныг хэлж чадахгүй. Өргөтгөлүүдийн жагсаалт, дараа нь холбогдсон үйлчилгээ, дараа нь клиентийн лог, яг энэ дарааллаар шалгана.
Private Relay Safari-г хамардаг, бүх машиныг биш
Private Relay хамарч буй хөтлөлтийг тусдаа талууд удирддаг хоёр релеээр дамжуулдаг тул нэг ч оператор таны хувь хүн болон очих газрыг хамт эзэмшихгүй. Энэ нь нууцлалын загвар, туннель биш: орох гарц байхгүй, хувийн дэд сүлжээ байхгүй, таны сонгосон улсад гарах хаягийг бэхлэх арга байхгүй.
Түүний хүрээ санаатайгаар нарийн: Safari хөтлөлтийг дагалдах DNS асуулга болон аюулгүй бус HTTP ачааллалттай хамт хамардаг. Терминалын сесс, шуудангийн клиент, чат апп, тоглоомын эхлүүлэгч түүнээс гадуур. Хэрэв Терминал дахь шалгалт таны нэвтрэх сүлжээний хаягийг хараахан харуулж, Safari реле хаяг харуулж байвал энэ нь хүлээгдэж буй үр дүн, эвдэрсэн суулгалт биш.
Хүртээмж нөхцөлтэй. iCloud+ багц шаардлагатай, бүх бүс нутагт санал болгодоггүй, удирдлагатай сүлжээ реле хандалтыг хааж болох бөгөөд тэр үед Safari шууд холболт руу буцна. Одоогийн хүрээний хувьд Apple-ийн Private Relay тойм лавлагаа болно. VPN профайл холбогдож, тэр трафикийг зөөж байвал реле түүний дээр давхарлагдахгүй; замыг профайл шийднэ.
Нотолгоог зөв дарааллаар уншина
Үйлчилгээний төлвөөс эхэл, учир нь энэ нь хамгийн хямд дохио. scutil --nc list тохируулсан VPN үйлчилгээнүүд болон тус бүр холбогдсон эсэхийг хэвлэнэ. Профайл тэнд хэзээ ч холбогдохгүйгээр олон жил хэвтэж болох бөгөөд хүмүүс үүнийг тогтмол туннель гэж тооцдог.
Дараа нь интерфэйс, маршрутыг хар. ifconfig utun интерфэйсүүдийг харуулдаг ч зөвхөн тэдний оршихуй нь бага зүй нотолдог, учир нь macOS utun-г VPN-ээс гадна хэд хэдэн зорилгоор ашигладаг. Гол нь өгөгдмөл маршрут тэдний аль нэг рүү орж байгаа эсэх бөгөөд үүнийг route -n get default мэдээлнэ.
Нэрийг шийдэхийн тулд scutil --dns систем үнэхээр ашиглах шийдвэрлэгчдийг жагсааж, тэнд DNS прокси нийлүүлэгч харагдана. dig +short example.com-г dig +short example.com @1.1.1.1-тэй харьцуулах нь хариулж буй шийдвэрлэгчийг саатуулагдаж буй шийдвэрлэгчээс ялгана.
Өргөтгөлүүдийн үйл ажиллагаа нэгдсэн лог руу хүрдэг: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Та аль өргөтгөл эхэлсэн, шүүлтүүр таны сонирхсон урсгал дээр шийдвэр мэдээлсэн эсэхийг хайж байгаа бөгөөд цээжлэх мөр биш.
Ямар нэг зүйлийг унтраахаас өмнө шинж тэмдгийг нарийсга
Эхлээд алдааг ангил. Шийдэгдэхгүй нэр, тэр даруй татгалзсан холболт, хугацаа хэтрэх хүртэл дүүжлэгдсэн холболт нь өөр өөр ажиглалт, өөр өөр хариуцагчтай. Шийдэл нь шийдвэрлэгч эсвэл DNS прокси руу заана. Шууд татгалзал шүүлтүүрийн дүрэм рүү заана. Чимээгүй байдал ихэвчлэн маршрутлалт руу, эсвэл боссон боловч дамжуулж чадахгүй туннель руу заана.
Удирдлагатай Mac дээр шүүлтүүр байгууллагынх гэж үз. VPN-г шалгахын тулд түүнийг унтраах нь таны ажиглахыг хүссэн бүрэлдэхүүнийг өөрөөс нь авч хаях бөгөөд MDM дараагийн шалгалтад ихэвчлэн сэргээдэг. Ямар нэг зүйлийг өөрчлөхөөс өмнө администратороос бодлогын нэрийг асууж, бүх системээр биш, бүтэлгүйтсэн тэр аппаар шалга.
Бас нэг урхи: VPN-г шалгахын тулд Private Relay-г унтраах нь гадаадын трафикийн талаар юу ч хэлэхгүй, учир нь реле тэр трафикийг хэзээ ч хамраагүй. Давхарга бүрийг түүнийг үнэхээр удирддаг апп дээр шалгах ёстой.
Энэ жагсаалтаар явж, эхний бүтэлгүйтсэн зүйл дээр зогс:
scutil --nc listтаны хүлээж буй үйлчилгээг холбогдсон гэж харуулж байна уу?- Терминалаас харагдах нийтийн хаяг таны нэвтрэх сүлжээний олгосон хаягаас өөр уу?
- Шүүлтүүрийн өргөтгөл суулгагдсан уу, бүтэлгүйтэж буй урсгал дээр шийдвэр бүртгэсэн үү?
- Алдаа зөвхөн Safari дээр үү? Тийм бол туннелийг буруутгахаас өмнө релений хүрээг шалга.
Дөрвүүлээ давж, апп гэсэн ч бүтэлгүйтвэл асуудал сүлжээний давхаргаас дээр байна: прокси тохиргоо, гэрчилгээний итгэлцэл эсвэл апп түвшний зөвшөөрөгдсөн жагсаалт.