Mac VPN, सामग्री फिल्टर वा Private Relay: कुन सक्रिय छ
Mac का तीन नेटवर्क तहहरू Settings मा उस्तै देखिन्छन्। निकास मार्ग, प्रवाह नीति र ब्राउजिङ दायराबाट VPN, सामग्री फिल्टर र Private Relay छुट्याउनुहोस्।
तपाईंको Mac मा एकैचोटि VPN टनेल, सामग्री फिल्टर र iCloud Private Relay स्थापना भएका हुन सक्छन्, र तीमध्ये कुनैले पनि कुनले दिइएको जडानलाई आकार दिइरहेको छ भनी जनाउँदैन। सेटिङका प्यानलहरू उस्तै देखिन्छन्, प्रतिमाहरू उस्तै देखिन्छन्, र लगभग हरेक विक्रेताले आफ्नो उत्पादनलाई नेटवर्क सुरक्षा भन्छ। तीन तथ्यले तिनलाई छुट्याउँछन्: ट्राफिक तपाईंले नाम दिन सक्ने टाढाको अन्त्य बिन्दुबाट बाहिर जान्छ कि जाँदैन, नीति इन्जिनले व्यक्तिगत प्रवाहहरूमा अनुमति-वा-अस्वीकार निर्णय गर्छ कि गर्दैन, र सुरक्षा Safari मै रोकिन्छ कि रोकिँदैन। यी तीन स्पष्ट भएपछि मेरो-VPN-खुला-छ-कि भन्ने अधिकांश प्रश्न आफैं उत्तर दिन्छन्।
घटक चिनाउने तीन सर्त
पहिलो सर्त निकास हो। टनेल प्रदायकले प्याकेटहरू टाढाको गेटवेमा सुम्पन्छ, त्यसैले तपाईंको सार्वजनिक ठेगाना बदलिन्छ र, प्रोफाइलले त्यसो भन्छ भने, त्यो गेटवे पछाडिका होस्टहरू पहुँचयोग्य हुन्छन्। ठेगाना कहिल्यै नबदलिएमा र कुनै निजी सबनेट नखुलेमा, मेनु बारले जे भने पनि, तपाईं काम गर्ने टनेल हेर्दै हुनुहुन्न।
दोस्रो सर्त निर्णय हो। सामग्री फिल्टरले प्रवाहहरूको मूल्याङ्कन गरी अनुमति वा अस्वीकार फर्काउँछ। यसले श्रेणी अवरोध, प्रति-एप नियम वा रोजगारदाताले पठाएको नीति लागू गर्न सक्छ, र निर्णय लग गर्न सक्छ। जे यसले एक्लै गर्न सक्दैन त्यो हो ट्राफिकलाई जाने ठाउँ दिनु।
तेस्रो सर्त दायरा हो। Private Relay सम्पूर्ण उपकरण नभई ब्राउजिङको निश्चित भाग सुरक्षित गर्छ, र यसको काम तपाईं को हुनुहुन्छ भन्नेलाई तपाईं के हेर्नुहुन्छ भन्नेबाट छुट्याउनु हो, तपाईंलाई अर्को नेटवर्कमा राख्नु होइन।
तिनलाई छेउछाउ राख्नुहोस् र सीमाहरू छुटाउन गाह्रो छ:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
सामग्री फिल्टर नीति इन्जिन हो, निकास होइन
macOS मा फिल्टर Network Extension का रूपमा आउँछ, जुन Apple को फिल्टर डेटा प्रदायक वर्ग NEFilterDataProvider मा बनेको हुन्छ। व्यवस्थापित तैनाथीमा यसलाई MDM ले धकेल्छ, प्रणाली विस्तारका रूपमा स्थापना हुन्छ र System Settings > General > Login Items and Extensions मा एक पटक स्वीकृत हुन्छ। त्यसपछि यसले TCP प्रवाहहरू, केही कन्फिगरेसनमा UDP पनि देख्छ, र प्रत्येकमा निर्णय फर्काउँछ।
मानिसहरूलाई अलमल्याउने कुरा असफलताको तरिका हो। प्रवाह अस्वीकार गर्ने फिल्टरले समय समाप्ति, अड्किएको TLS हात मिलाउने क्रम वा रिसेट उत्पन्न गर्छ, जुन उठेको तर ट्राफिक पार गर्न नसक्ने टनेलजस्तै देखिन्छ। सार्वजनिक ठेगाना कहिल्यै बदलिएन, किनकि बदल्ने कुनै निकास थिएन।
व्यावसायिक ग्राहकहरूले प्रायः दुवै भूमिका सँगै ल्याउँछन्। एउटै स्थापकले टनेल प्रदायक र फिल्टर ल्याउँछ, रोक्ने काम फिल्टरले गर्छ र मार्ग निर्देशन टनेलले गर्छ। त्यसैले कुन घटकले जडान अस्वीकार गर्यो भन्ने एपको नामबाट थाहा हुँदैन। विस्तार सूची, त्यसपछि जोडिएको सेवा, त्यसपछि ग्राहक लग, यही क्रममा जाँच्नुहोस्।
Private Relay ले Safari ढाक्छ, सम्पूर्ण मेसिन होइन
Private Relay ले आफूले ढाक्ने ब्राउजिङ छुट्टाछुट्टै पक्षहरूले सञ्चालन गर्ने दुई रिलेमार्फत पठाउँछ, त्यसैले कुनै एक अपरेटरसँग तपाईंको पहिचान र गन्तव्य दुवै हुँदैन। यो गोपनीयताको डिजाइन हो, टनेल होइन: भित्र पस्ने गेटवे छैन, निजी सबनेट छैन, र तपाईंले छान्नुभएको देशमा निकास ठेगाना पिन गर्ने तरिका छैन।
यसको दायरा जानाजान साँघुरो छ: Safari ब्राउजिङसँगै त्यससँग आउने DNS प्रश्नहरू र असुरक्षित HTTP लोडहरू ढाक्छ। टर्मिनल सत्र, मेल ग्राहक, च्याट एप र खेल लन्चर यसबाहिर छन्। टर्मिनलमा जाँच गर्दा अझै तपाईंको पहुँच नेटवर्कको ठेगाना देखाइरहेको छ र Safari ले रिले ठेगाना देखाइरहेको छ भने, त्यही अपेक्षित नतिजा हो, बिग्रेको स्थापना होइन।
उपलब्धता सर्तसापेक्ष छ। यसका लागि iCloud+ योजना चाहिन्छ, हरेक क्षेत्रमा दिइँदैन, र व्यवस्थापित नेटवर्कले रिले पहुँच रोक्न सक्छ, त्यस्तो अवस्थामा Safari सीधा जडानमा फर्कन्छ। Apple को Private Relay अवलोकन वर्तमान दायराको सन्दर्भ हो। जब VPN प्रोफाइल जोडिएको हुन्छ र त्यो ट्राफिक बोकिरहेको हुन्छ, रिले त्यसको माथि तह बनेर बस्दैन; मार्ग प्रोफाइलले तय गर्छ।
प्रमाण सही क्रममा पढ्नुहोस्
सेवाको अवस्थाबाट सुरु गर्नुहोस्, किनकि त्यो सबैभन्दा सस्तो सङ्केत हो। scutil --nc list ले कन्फिगर गरिएका VPN सेवाहरू र प्रत्येक जोडिएको छ कि छैन छाप्छ। प्रोफाइल कहिल्यै नजोडिई वर्षौं त्यहीँ बस्न सक्छ, र मानिसहरूले त्यसलाई नियमित रूपमा टनेल गन्छन्।
त्यसपछि इन्टरफेस र मार्गहरू हेर्नुहोस्। ifconfig ले utun इन्टरफेसहरू देखाउँछ, तर तिनको उपस्थितिले मात्र धेरै प्रमाणित गर्दैन, किनकि macOS ले VPN बाहेकका धेरै प्रयोजनका लागि utun प्रयोग गर्छ। महत्त्वपूर्ण कुरा पूर्वनिर्धारित मार्ग तिनमध्ये कुनैमा जान्छ कि भन्ने हो, जुन route -n get default ले जनाउँछ।
नाम समाधानका लागि scutil --dns ले प्रणालीले वास्तवमै प्रयोग गर्ने रिजोल्भरहरू सूचीबद्ध गर्छ, र त्यहाँ DNS प्रोक्सी प्रदायक देखिन्छ। dig +short example.com लाई dig +short example.com @1.1.1.1 सँग तुलना गर्दा जवाफ दिने रिजोल्भरलाई रोकिएको रिजोल्भरबाट छुट्याउँछ।
विस्तारको गतिविधि एकीकृत लगसम्म पुग्छ: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m। तपाईं कुन विस्तार सुरु भयो र फिल्टरले तपाईंलाई महत्त्वपूर्ण प्रवाहमा निर्णय जनायो कि भन्ने खोज्दै हुनुहुन्छ, कण्ठ गर्ने लाइन होइन।
केही बन्द गर्नुअघि लक्षण साँघुरो बनाउनुहोस्
पहिले असफलताको वर्गीकरण गर्नुहोस्। नहुने नाम, तुरुन्तै अस्वीकार गरिएको जडान, र समय समाप्तिसम्म झुन्डिने जडान — यी तीन फरक अवलोकन हुन्, तीन फरक जिम्मेवारसहित। समाधानले रिजोल्भर वा DNS प्रोक्सीतर्फ सङ्केत गर्छ। तुरुन्तै अस्वीकारले फिल्टर नियमतर्फ सङ्केत गर्छ। मौनता सामान्यतया मार्ग निर्देशनतर्फ, वा उठेको तर अगाडि नपठाउने टनेलतर्फ सङ्केत गर्छ।
व्यवस्थापित Mac मा फिल्टर संस्थाको हो भनी मान्नुहोस्। VPN जाँच्न त्यसलाई बन्द गर्दा तपाईं हेर्न चाहनुभएको घटक नै हटाइन्छ, र MDM ले अर्को जाँचमा प्रायः पुनर्स्थापित गर्छ। केही बदल्नुअघि प्रशासकलाई नीतिको नाम सोध्नुहोस्, र सम्पूर्ण प्रणालीको सट्टा असफल भएको त्यही एपसँग जाँच्नुहोस्।
अर्को जाल: VPN जाँच्न Private Relay बन्द गर्दा विदेशी ट्राफिकबारे केही थाहा हुँदैन, किनकि रिलेले त्यो ट्राफिक कहिल्यै ढाकेको थिएन। हरेक तहलाई त्यसले वास्तवमै शासन गर्ने एपमै जाँच्नुपर्छ।
यो सूची पार गर्नुहोस् र असफल हुने पहिलो बुँदामा रोकिनुहोस्:
scutil --nc listले तपाईंले अपेक्षा गरेको सेवालाई जोडिएको देखाउँछ?- टर्मिनलबाट देखिने सार्वजनिक ठेगाना तपाईंको पहुँच नेटवर्कले दिएको ठेगानाभन्दा फरक छ?
- फिल्टर विस्तार स्थापना छ, र असफल हुने प्रवाहका लागि यसले निर्णय लग गर्यो?
- असफलता Safari मा मात्र हो? यदि हो भने, टनेललाई दोष दिनुअघि रिलेको दायरा जाँच्नुहोस्।
चारै पास भए र एप अझै असफल भइरहेमा, समस्या नेटवर्क तहको माथि छ: प्रोक्सी सेटिङ, प्रमाणपत्रमाथिको विश्वास, वा एप-स्तरीय अनुमति सूची।