VPN tal-Mac, filtru tal-kontenut jew Private Relay: liema huwa attiv
Tliet saffi tan-netwerk tal-Mac jidhru l-istess fis-Settings. Iddistingwi VPN, filtru tal-kontenut u Private Relay mill-mogħdija tal-ħruġ, il-politika tal-flussi u l-ambitu tal-ibbrawżjar.
Il-Mac tiegħek jista' jkollu tunnel VPN, filtru tal-kontenut u iCloud Private Relay installati fl-istess ħin, u ebda wieħed minnhom ma jħabbar liema qed ifassal konnessjoni partikolari. Il-pannelli tas-settings jidhru simili, l-ikoni jidhru simili, u kważi kull fornitur isejjaħ il-prodott tiegħu sigurtà tan-netwerk. Tliet fatti jifirduhom: jekk it-traffiku joħroġx minn punt remot li tista' ssemmi, jekk magna tal-politika tieħux deċiżjonijiet ippermetti-jew-aħmi fuq flussi individwali, u jekk il-protezzjoni tieqafx fis-Safari. Issettilhom it-tlieta u l-biċċa l-kbira tal-mistoqsijiet jekk-il-VPN-tiegħi-hijiex-miżjuda jwieġbu waħedhom.
Tliet kundizzjonijiet li jidentifikaw il-komponent
L-ewwel kundizzjoni hija l-ħruġ. Fornitur tat-tunnel jagħti l-pakketti lil gateway remot, u għalhekk l-indirizz pubbliku tiegħek jinbidel u, jekk il-profil jgħid hekk, il-hosts warajk dak il-gateway isiru aċċessibbli. Jekk l-indirizz qatt ma jinbidel u l-ebda subnet privat ma jinfetaħ, m'intix qed tara tunnel li jaħdem, x'inhi tgħid il-bar tal-menu.
It-tieni kundizzjoni hija d-deċiżjoni. Filtru tal-kontenut jevalwa l-flussi u jirritorna ippermetti jew aħmi. Jista' jimplimenta blokk ta' kategorija, regola għal kull app jew politika mibgħuta minn min iħaddem, u jista' jirreġistra l-verdett. Dak li ma jistax jagħmel waħdu huwa li jagħti lit-traffiku post fejn imur.
It-tielet kundizzjoni hija l-ambitu. Private Relay jipproteġi biċċa definita tal-ibbrawżjar u mhux apparat sħiħ, u x-xogħol tiegħu huwa li jifred min int minn dak li żżur, mhux li jqiegħdek fuq netwerk ieħor.
Qegħedhom ħdejn xulxin u l-konfini diffiċli li taqbeżhom:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Filtru tal-kontenut huwa magna tal-politika, mhux ħruġ
Fuq macOS filtru jiġi bħala Network Extension mibni fuq il-klassi tal-fornitur tad-data tal-filtru ta' Apple, NEFilterDataProvider. F'implimentazzjoni ġestita jimbuttah l-MDM, jiġi installat bħala estensjoni tas-sistema u jiġi approvat darba taħt System Settings > General > Login Items and Extensions. Minn hemm 'il quddiem jara flussi TCP, u f'xi konfigurazzjonijiet anki UDP, u jirritorna verdett għal kull wieħed.
Il-mod tal-falliment huwa dak li jħawwad lin-nies. Filtru li jaħmi fluss jipproduċi timeout, handshake TLS staġnat jew reset, li jidher eżattament bħal tunnel li tela' iżda ma jistax jgħaddi traffiku. L-indirizz pubbliku qatt ma nbidel, għax qatt ma kien hemm ħruġ li jbiddlu.
Il-klijenti kummerċjali spiss jgħaqqdu ż-żewġ rwoli. Installatur wieħed iġib fornitur tat-tunnel u filtru, il-filtru jagħmel il-blokk u t-tunnel jagħmel ir-routing. Għalhekk l-isem tal-applikazzjoni ma jgħidlek xejn dwar liema komponent irrifjuta l-konnessjoni. Iċċekkja l-lista tal-estensjonijiet, imbagħad is-servizz konness, imbagħad il-log tal-klijent, f'dik l-ordni.
Private Relay ikopri s-Safari, mhux il-magna
Private Relay jibgħat l-ibbrawżjar li jkopri permezz ta' żewġ relays immexxija minn partijiet separati, u għalhekk l-ebda operatur wieħed ma jżomm kemm l-identità tiegħek kif ukoll id-destinazzjonijiet tiegħek. Dan huwa disinn tal-privatezza, mhux tunnel: m'hemmx gateway li tidħol fih, m'hemmx subnet privat, u m'hemmx mod kif torbot indirizz tal-ħruġ f'pajjiż li tagħżel.
L-ambitu tiegħu huwa apposta dejjaq: ikopri l-ibbrawżjar tas-Safari flimkien mat-talbiet DNS u t-tagħbijiet HTTP mhux siguri li jmorru miegħu. Sessjoni tat-terminal, klijent tal-posta, app taċ-chat u launcher tal-logħob jibqgħu barra. Jekk verifika fit-Terminal għadha turi l-indirizz tan-netwerk tal-aċċess tiegħek waqt li s-Safari juri indirizz tar-relay, dak huwa r-riżultat mistenni, mhux installazzjoni miksura.
Id-disponibilità hija kundizzjonali. Trid pjan iCloud+, mhijiex offruta f'kull reġjun, u netwerk ġestit jista' jimblokka l-aċċess għar-relay, u f'dak il-każ is-Safari jaqa' lura għal konnessjoni diretta. Il-ħarsa ġenerali ta' Private Relay mill-Apple hija r-referenza għall-ambitu attwali. Meta profil VPN ikun konness u jġorr dak it-traffiku, ir-relay ma jiġix fi stacked fuqu; il-profil jiddeċiedi l-mogħdija.
Aqra l-evidenza fl-ordni t-tajba
Ibda mill-istat tas-servizz, għax huwa l-aktar sinjal irħis. scutil --nc list jipprintja s-servizzi VPN ikkonfigurati u jekk kull wieħed huwiex konness. Profil jista' joqgħod hemm għal snin mingħajr qatt ma jiġi konness, u n-nies normalment jgħodduh bħala tunnel.
Imbagħad ħares lejn l-interfaces u r-rotot. ifconfig juri interfaces utun, iżda l-preżenza tagħhom waħedha tipprova ftit, għax macOS juża utun għal diversi skopijiet lil hinn mill-VPN. Dak li jimpurtah huwa jekk ir-rotta awtomatika tmurx f'waħda minnhom, li jirrapporta route -n get default.
Għas-soluzzjoni tal-ismijiet scutil --dns jelenka r-resolvers li s-sistema tassew se tuża, u hemmhekk jidher fornitur ta' proxy DNS. It-tqabbil ta' dig +short example.com ma' dig +short example.com @1.1.1.1 jifred ir-resolver li jwieġeb mir-resolver li qed jiġi interċettat.
L-attività tal-estensjonijiet tasal fil-log unifikat: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Qed tfittex liema estensjoni bdiet u jekk filtru rrappurtax verdett fuq il-fluss li jimpurtak, mhux linja biex tiftakarha.
Dejjaq is-sintomu qabel ma tiddiżattiva xejn
Klassifika l-falliment l-ewwel. Isem li ma jiġix solvut, konnessjoni miċħuda minnufih, u konnessjoni li tiddendel sal-timeout huma tliet osservazzjonijiet differenti b'tliet responsabbli differenti. Is-soluzzjoni tindika resolver jew proxy DNS. Ċaħda immedjata tindika regola tal-filtru. Is-skiet normalment jindika routing, jew tunnel li tela' iżda mhux qed jibgħat.
Fuq Mac ġestit, assumi li l-filtru huwa tal-organizzazzjoni. L-iddiżattivar tiegħu biex tittestja l-VPN ineħħi l-komponent li ridt tosserva, u l-MDM spiss jerġa' jġibu fil-verifika li jmiss. Staqsi lill-amministratur għall-isem tal-politika qabel ma tbiddel xejn, u ttestja bl-app speċifika li falliet u mhux mas-sistema kollha.
Nassa oħra: it-tifi ta' Private Relay biex tittestja VPN ma jgħid xejn dwar traffiku barrani, għax ir-relay qatt ma kien ikopri dak it-traffiku. Kull saff irid jiġi ttestjat fl-app li tassew jamministra.
Għaddi minn din il-lista u waqaf fl-ewwel punt li jonqos:
- Il-
scutil --nc listjuri s-servizz li tistenna bħala konness? - L-indirizz pubbliku li jidher mit-Terminal huwa differenti mill-indirizz li tana n-netwerk tal-aċċess tiegħek?
- Hija installata estensjoni tal-filtru, u rreġistrat verdett għall-fluss li qed jonqos?
- Il-falliment huwa biss fis-Safari? Jekk iva, iċċekkja l-ambitu tar-relay qabel ma tagħti tort lit-tunnel.
Jekk l-erbgħa jgħaddu u l-app xorta tonqos, il-problema tinsab 'il fuq mis-saff tan-netwerk: settings tal-proxy, fiduċja fiċ-ċertifikat, jew lista ta' permessi fil-livell tal-app.