Mac VPN, कंटेंट फिल्टर की Private Relay: कोणते सक्रिय आहे
Mac चे तीन नेटवर्क स्तर Settings मध्ये सारखे दिसतात. बाहेर पडण्याचा मार्ग, प्रवाह धोरण आणि ब्राउझिंग व्याप्ती यावरून VPN, कंटेंट फिल्टर आणि Private Relay वेगळे ओळखा.
तुमच्या Mac वर एकाच वेळी VPN टनेल, कंटेंट फिल्टर आणि iCloud Private Relay स्थापित असू शकतात, आणि त्यांपैकी कोणतेही सांगत नाही की दिलेला कनेक्शन कोणते घडवत आहे. सेटिंग्जचे पॅनेल सारखे दिसतात, चिन्हे सारखी दिसतात, आणि जवळपास प्रत्येक विक्रेता आपल्या उत्पादनाला नेटवर्क सुरक्षा म्हणतो. तीन तथ्ये त्यांना वेगळे करतात: रहदारी तुम्ही नाव देऊ शकता अशा दूरच्या टोकातून बाहेर पडते का, धोरण इंजिन वैयक्तिक प्रवाहांवर अनुमती-किंवा-नकार निर्णय घेते का, आणि संरक्षण Safari वर थांबते का. ही तीन स्पष्ट झाली की माझा-VPN-सुरू-आहे-का अशा बहुतेक प्रश्नांची उत्तरे स्वतः मिळतात.
घटक ओळखणाऱ्या तीन अटी
पहिली अट म्हणजे बाहेर पडणे. टनेल पुरवठादार पॅकेट्स दूरच्या गेटवेवर सुपूर्द करतो, त्यामुळे तुमचा सार्वजनिक पत्ता बदलतो आणि, प्रोफाइल तसे सांगत असेल तर, त्या गेटवेमागील होस्ट उपलब्ध होतात. पत्ता कधीच बदलत नसेल आणि कोणतेही खाजगी सबनेट उघडत नसेल, तर मेनू बार काहीही म्हणो, तुम्ही कार्यरत टनेल पाहत नाही आहात.
दुसरी अट म्हणजे निर्णय. कंटेंट फिल्टर प्रवाहांचे मूल्यांकन करतो आणि अनुमती किंवा नकार परत देतो. तो श्रेणी-ब्लॉक, प्रत्येक अॅपसाठी नियम किंवा नियोक्त्याने पाठवलेले धोरण लागू करू शकतो, आणि निर्णय नोंदवू शकतो. जे तो एकटा करू शकत नाही ते म्हणजे रहदारीला जाण्यासाठी जागा देणे.
तिसरी अट म्हणजे व्याप्ती. Private Relay संपूर्ण उपकरण नव्हे तर ब्राउझिंगचा ठराविक भाग संरक्षित करतो, आणि त्याचे काम तुम्ही कोण आहात हे तुम्ही काय पाहता यापासून वेगळे करणे आहे, तुम्हाला दुसऱ्या नेटवर्कवर ठेवणे नाही.
तिन्हींना शेजारी ठेवा आणि सीमा चुकवणे कठीण आहे:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
कंटेंट फिल्टर धोरण इंजिन आहे, बाहेर पडण्याचा मार्ग नाही
macOS मध्ये फिल्टर Network Extension म्हणून येतो, जो Apple च्या फिल्टर डेटा पुरवठादार वर्ग NEFilterDataProvider वर बांधलेला असतो. व्यवस्थापित तैनातीत तो MDM ढकलतो, सिस्टम एक्स्टेंशन म्हणून स्थापित होतो आणि System Settings > General > Login Items and Extensions मध्ये एकदा मंजूर होतो. तेव्हापासून तो TCP प्रवाह पाहतो, काही संरचनांमध्ये UDP देखील, आणि प्रत्येकावर निर्णय परत देतो.
लोकांना गोंधळवणारी गोष्ट म्हणजे अयशस्वी होण्याची पद्धत. प्रवाह नाकारणारा फिल्टर कालबाह्यता, अडकलेला TLS हस्तांदोलन किंवा रीसेट निर्माण करतो, जे उभे राहिलेल्या पण रहदारी पुढे जाऊ न देणाऱ्या टनेलसारखेच दिसते. सार्वजनिक पत्ता कधीच बदलला नाही, कारण बदलण्यासाठी कोणताही मार्ग नव्हता.
व्यावसायिक क्लायंट अनेकदा दोन्ही भूमिका एकत्र आणतात. एकच इंस्टॉलर टनेल पुरवठादार आणि फिल्टर आणतो, ब्लॉकिंग फिल्टर करतो आणि मार्गक्रमण टनेल करते. म्हणून कोणत्या घटकाने कनेक्शन नाकारले हे अॅपच्या नावावरून कळत नाही. एक्स्टेंशनची यादी, नंतर जोडलेली सेवा, नंतर क्लायंट लॉग, याच क्रमाने तपासा.
Private Relay Safari व्यापते, संपूर्ण मशीन नाही
Private Relay आपण व्यापलेले ब्राउझिंग वेगवेगळ्या पक्षांकडून चालवल्या जाणाऱ्या दोन रिलेमधून पाठवतो, त्यामुळे कोणत्याही एका ऑपरेटरकडे तुमची ओळख आणि तुमची गंतव्ये दोन्ही नसतात. हे गोपनीयतेचे रचना आहे, टनेल नाही: आत जाण्यासाठी गेटवे नाही, खाजगी सबनेट नाही, आणि तुम्ही निवडलेल्या देशात बाहेर पडण्याचा पत्ता पिन करण्याचा मार्ग नाही.
त्याची व्याप्ती मुद्दाम संकुचित आहे: Safari ब्राउझिंगसह त्याबरोबर येणाऱ्या DNS चौकशा आणि असुरक्षित HTTP लोड व्यापते. टर्मिनल सत्र, मेल क्लायंट, चॅट अॅप आणि गेम लाँचर त्याबाहेर आहेत. टर्मिनलमधील तपासणी अजूनही तुमच्या प्रवेश नेटवर्कचा पत्ता दाखवत असेल आणि Safari रिले पत्ता दाखवत असेल, तर तोच अपेक्षित निकाल, तुटलेली स्थापना नाही.
उपलब्धता अटींवर आहे. त्यासाठी iCloud+ योजना लागते, प्रत्येक प्रदेशात ती दिली जात नाही, आणि व्यवस्थापित नेटवर्क रिले प्रवेश अडवू शकते, त्या स्थितीत Safari थेट कनेक्शनवर परत जाते. Apple चे Private Relay विहंगावलोकन सध्याच्या व्याप्तीचा संदर्भ आहे. VPN प्रोफाइल जोडलेली असेल आणि ती रहदारी वाहत असेल, तर रिले त्यावर थर म्हणून बसत नाही; मार्ग प्रोफाइल ठरवते.
पुरावे योग्य क्रमाने वाचा
सेवेच्या स्थितीपासून सुरुवात करा, कारण तो सर्वात स्वस्त संकेत आहे. scutil --nc list संरचित VPN सेवा आणि प्रत्येक जोडलेली आहे का ते छापते. प्रोफाइल कधीही न जोडली जाता वर्षानुवर्षे तिथे पडून राहू शकते, आणि लोक तिला नियमितपणे टनेल मानतात.
मग इंटरफेस आणि मार्ग पाहा. ifconfig utun इंटरफेस दाखवते, पण केवळ त्यांची उपस्थिती फारसे सिद्ध करत नाही, कारण macOS VPN व्यतिरिक्त अनेक कारणांसाठी utun वापरते. महत्त्वाचे म्हणजे डीफॉल्ट मार्ग त्यांपैकी एकात जातो का, जे route -n get default कळवते.
नाव निराकरणासाठी scutil --dns प्रणाली प्रत्यक्षात वापरणारे रिझोल्व्हर सूचीबद्ध करते, आणि तिथे DNS प्रॉक्सी पुरवठादार दिसतो. dig +short example.com ची dig +short example.com @1.1.1.1 शी तुलना उत्तर देणाऱ्या रिझोल्व्हरला अडवल्या जात असलेल्या रिझोल्व्हरपासून वेगळे करते.
एक्स्टेंशनची क्रिया एकत्रित लॉगपर्यंत पोहोचते: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. तुम्ही शोधत आहात कोणते एक्स्टेंशन सुरू झाले आणि फिल्टरने तुम्हाला महत्त्वाच्या प्रवाहावर निर्णय नोंदवला का, पाठ करण्यासारखी ओळ नाही.
काहीही बंद करण्यापूर्वी लक्षण संकुचित करा
आधी अयशस्वीतेचे वर्गीकरण करा. न सुटणारे नाव, लगेच नाकारलेले कनेक्शन, आणि कालबाह्यतेपर्यंत लटकणारे कनेक्शन — ही तीन वेगळी निरीक्षणे आहेत, तीन वेगळ्या जबाबदारांसह. निराकरण रिझोल्व्हर किंवा DNS प्रॉक्सीकडे निर्देश करते. लगेचच नकार फिल्टर नियमाकडे निर्देश करतो. शांतता सहसा मार्गक्रमणाकडे, किंवा उभे असलेल्या पण पुढे न पाठवणाऱ्या टनेलकडे निर्देश करते.
व्यवस्थापित Mac वर फिल्टर संस्थेचा आहे असे गृहीत धरा. VPN तपासण्यासाठी तो बंद केल्यास तुम्ही पाहू इच्छित असलेला घटकच काढून टाकला जातो, आणि MDM पुढील तपासणीत तो पुन्हा बहाल करतो. काहीही बदलण्यापूर्वी प्रशासकाला धोरणाचे नाव विचारा, आणि संपूर्ण प्रणालीऐवजी जे अॅप अयशस्वी झाले त्याच्यासह तपासा.
आणखी एक सापळा: VPN तपासण्यासाठी Private Relay बंद केल्याने परदेशी रहदारीबद्दल काहीही कळत नाही, कारण रिलेने ती रहदारी कधीच व्यापली नव्हती. प्रत्येक स्तर तो प्रत्यक्षात चालवत असलेल्या अॅपवरच तपासला पाहिजे.
ही यादी पुढे घ्या आणि अयशस्वी होणाऱ्या पहिल्या मुद्द्यावर थांबा:
scutil --nc listतुम्ही अपेक्षित असलेली सेवा जोडलेली दाखवते का?- टर्मिनलमधून दिसणारा सार्वजनिक पत्ता तुमच्या प्रवेश नेटवर्कने दिलेल्या पत्त्यापेक्षा वेगळा आहे का?
- फिल्टर एक्स्टेंशन स्थापित आहे का, आणि त्याने अयशस्वी प्रवाहासाठी निर्णय नोंदवला का?
- अयशस्वीता केवळ Safari मध्ये आहे का? तसे असल्यास, टनेलला दोष देण्यापूर्वी रिलेची व्याप्ती तपासा.
चारही उत्तीर्ण झाल्या आणि अॅप अजूनही अयशस्वी झाले, तर समस्या नेटवर्क स्तराच्या वर आहे: प्रॉक्सी सेटिंग्ज, प्रमाणपत्रावरील विश्वास, किंवा अॅप-स्तरीय अनुमती यादी.