VPN Mac, penapis kandungan atau Private Relay: yang mana aktif
Tiga lapisan rangkaian Mac kelihatan serupa dalam Tetapan. Bezakan VPN, penapis kandungan dan Private Relay melalui laluan keluar, dasar aliran dan skop pelayaran.
Mac anda mungkin mempunyai tunnel VPN, penapis kandungan dan iCloud Private Relay dipasang serentak, dan tiada satu pun mengumumkan yang mana membentuk sambungan tertentu. Panel tetapan kelihatan serupa, ikon kelihatan serupa, dan hampir setiap vendor memanggil produknya keselamatan rangkaian. Tiga fakta memisahkan mereka: sama ada trafik keluar melalui titik akhir jauh yang anda boleh namakan, sama ada enjin dasar membuat keputusan benarkan-atau-gugurkan pada aliran individu, dan sama ada perlindungan berhenti di Safari. Selesaikan ketiga-tiganya dan kebanyakan soalan adakah-VPN-saya-hidup menjawab sendiri.
Tiga syarat yang mengenal pasti komponen
Syarat pertama ialah jalan keluar. Pembekal tunnel menyerahkan paket kepada get laluan jauh, jadi alamat awam anda berubah dan, jika profil berkata demikian, hos di belakang get laluan itu menjadi boleh dicapai. Jika alamat tidak pernah berubah dan tiada subnet peribadi terbuka, anda bukan melihat tunnel yang berfungsi, apa pun kata bar menu.
Syarat kedua ialah keputusan. Penapis kandungan menilai aliran dan memulangkan benarkan atau gugurkan. Ia boleh menguatkuasakan sekatan kategori, peraturan per aplikasi atau dasar yang dihantar oleh majikan, dan ia boleh merekod keputusan itu. Apa yang ia tidak boleh lakukan sendiri ialah memberi trafik tempat untuk pergi.
Syarat ketiga ialah skop. Private Relay melindungi sebahagian pelayaran yang ditakrifkan, bukan seluruh peranti, dan tugasnya ialah memisahkan siapa anda daripada apa yang anda lawati, bukan meletakkan anda pada rangkaian lain.
Letakkan ketiga-tiganya bersebelahan dan sempadannya sukar terlepas pandang:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Penapis kandungan ialah enjin dasar, bukan jalan keluar
Pada macOS penapis datang sebagai Network Extension yang dibina atas kelas pembekal data penapis Apple, NEFilterDataProvider. Dalam penggunaan terurus, MDM menolaknya, ia dipasang sebagai sambungan sistem dan diluluskan sekali di bawah System Settings > General > Login Items and Extensions. Selepas itu ia melihat aliran TCP, dan dalam sesetengah konfigurasi juga UDP, serta memulangkan keputusan bagi setiap satu.
Cara kegagalan itulah yang mengelirukan orang. Penapis yang menggugurkan aliran menghasilkan tamat masa, jabat tangan TLS tersekat atau set semula, yang kelihatan tepat seperti tunnel yang naik tetapi tidak dapat melepaskan trafik. Alamat awam tidak pernah berubah, kerana tiada jalan keluar untuk mengubahnya.
Klien komersial sering menggabungkan kedua-dua peranan. Satu pemasang membawa pembekal tunnel dan penapis, penapis melakukan penyekatan dan tunnel melakukan penghalaan. Jadi nama aplikasi tidak memberitahu anda apa-apa tentang komponen mana yang menolak sambungan itu. Periksa senarai sambungan, kemudian perkhidmatan yang disambungkan, kemudian log klien, dalam urutan itu.
Private Relay meliputi Safari, bukan seluruh mesin
Private Relay menghantar pelayaran yang diliputinya melalui dua relai yang dikendalikan oleh pihak berasingan, jadi tiada satu pengendali pun memegang identiti dan destinasi anda serentak. Itu reka bentuk privasi, bukan tunnel: tiada get laluan untuk dimasuki, tiada subnet peribadi, dan tiada cara untuk memakukan alamat keluar di negara yang anda pilih.
Skopnya sengaja sempit, meliputi pelayaran Safari bersama pertanyaan DNS dan pemuatan HTTP tidak selamat yang menyertainya. Sesi terminal, klien mel, aplikasi sembang dan pelancar permainan berada di luarnya. Jika pemeriksaan dalam Terminal masih menunjukkan alamat rangkaian akses anda manakala Safari menunjukkan alamat relai, itulah hasil yang dijangka, bukan pemasangan yang rosak.
Ketersediaannya bersyarat. Ia memerlukan pelan iCloud+, tidak ditawarkan di setiap wilayah, dan rangkaian terurus boleh menyekat akses relai, dan dalam keadaan itu Safari kembali ke sambungan langsung. Gambaran keseluruhan Private Relay Apple ialah rujukan untuk skop semasa. Apabila profil VPN bersambung dan membawa trafik itu, relai tidak ditindan di atasnya; profil yang menentukan laluan.
Baca bukti dalam urutan yang betul
Mulakan dengan keadaan perkhidmatan, kerana itu isyarat paling murah. scutil --nc list mencetak perkhidmatan VPN yang dikonfigurasikan dan sama ada setiap satu bersambung. Profil boleh duduk di situ bertahun-tahun tanpa pernah bersambung, dan orang biasa mengiranya sebagai tunnel.
Kemudian lihat antara muka dan laluan. ifconfig menunjukkan antara muka utun, tetapi kehadirannya sahaja membuktikan sedikit, kerana macOS menggunakan utun untuk beberapa tujuan selain VPN. Yang penting ialah sama ada laluan lalai menuju ke salah satunya, yang dilaporkan oleh route -n get default.
Untuk penyelesaian nama, scutil --dns menyenaraikan penyelesai yang benar-benar akan digunakan sistem, dan pembekal proksi DNS muncul di situ. Membandingkan dig +short example.com dengan dig +short example.com @1.1.1.1 memisahkan penyelesai yang menjawab daripada penyelesai yang dipintas.
Aktiviti sambungan sampai ke log bersatu: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Anda mencari sambungan mana yang bermula dan sama ada penapis melaporkan keputusan bagi aliran yang anda pedulikan, bukan baris untuk dihafal.
Sempitkan gejala sebelum anda mematikan apa-apa
Klasifikasikan kegagalan dahulu. Nama yang tidak diselesaikan, sambungan yang ditolak serta-merta, dan sambungan yang tergantung sehingga tamat masa ialah tiga pemerhatian berbeza dengan tiga pemilik berbeza. Penyelesaian menunjuk kepada penyelesai atau proksi DNS. Penolakan serta-merta menunjuk kepada peraturan penapis. Ketenangan biasanya menunjuk kepada penghalaan, atau kepada tunnel yang naik tetapi tidak memajukan.
Pada Mac terurus, anggap penapis itu milik organisasi. Mematikannya untuk menguji VPN membuang komponen yang anda ingin perhatikan, dan MDM sering memulihkannya pada pemeriksaan seterusnya. Tanya pentadbir nama dasar itu sebelum anda mengubah apa-apa, dan uji dengan aplikasi tertentu yang gagal dan bukan seluruh sistem.
Satu lagi perangkap: mematikan Private Relay untuk menguji VPN tidak memberitahu apa-apa tentang trafik asing, kerana relai tidak pernah meliputi trafik itu. Setiap lapisan mesti diuji pada aplikasi yang benar-benar dikawalnya.
Lalui senarai ini dan berhenti pada perkara pertama yang gagal:
- Adakah
scutil --nc listmenunjukkan perkhidmatan yang anda jangkakan sebagai bersambung? - Adakah alamat awam yang dilihat dari Terminal berbeza daripada alamat yang diberikan rangkaian akses anda?
- Adakah sambungan penapis dipasang, dan adakah ia merekod keputusan bagi aliran yang gagal?
- Adakah kegagalan hanya di Safari? Jika ya, periksa skop relai sebelum menyalahkan tunnel.
Jika keempat-empatnya lulus dan aplikasi masih gagal, masalahnya terletak di atas lapisan rangkaian: tetapan proksi, kepercayaan sijil, atau senarai benaran peringkat aplikasi.