Mac-VPN, innhaldsfilter eller Private Relay: kva som er aktivt

Macen din kan ha ein VPN-tunnel, eit innhaldsfilter og iCloud Private Relay installerte samstundes, og ingen av dei kunngjer kva som formar ei gjeven tilkopling. Innstillingspanel ser like ut, ikona ser like ut, og nesten kvar leverandør kallar produktet sitt nettverkssikkerheit. Tre fakta skil dei: om trafikken går ut gjennom eit fjernt endepunkt du kan namngje, om ein politikk-motor tek avgjerder tillat-eller-slepp på einskildstraumar, og om vernet stoggar ved Safari. Får du desse tre på plass, svarar dei fleste spørsmåla om er-VPN-en-min-på seg sjølv.

Tre vilkår som kjenner att komponenten

Vilkår ein er utgangen. Ein tunnel-leverandør overlet pakkane til ein fjern gateway, så den offentlege adressa di endrar seg og, om profilen seier det, blir vertar bak den gatewayen tilgjengelege. Om adressa aldri endrar seg og ingen privat subnett opnar seg, ser du ikkje på ein fungerande tunnel, kva menylinja enn seier.

Vilkår to er avgjerda. Eit innhaldsfilter vurderer straumar og returnerer tillat eller slepp. Det kan handheve ei kategoriblokkering, ei regel per app eller ein politikk ein arbeidsgjevar har sendt, og det kan logge avgjerda. Det det ikkje kan gjere åleine, er å gje trafikken ein stad å gå.

Vilkår tre er omfanget. Private Relay vernar ein definert del av nettlesinga og ikkje ei heil eining, og oppgåva er å skilje kven du er frå kva du besøkjer, ikkje å plassere deg på eit anna nettverk.

Set dei side om side, og grensene er vanskelege å oversjå:

Eit innhaldsfilter er ein politikk-motor, ikkje ein utgang

På macOS kjem eit filter som ein Network Extension bygd på Apples filterdataleverandørklasse, NEFilterDataProvider. I ein styrt utrulling blir det skyvd ut av MDM, installert som ei systemutviding og godkjent éin gong under System Settings > General > Login Items and Extensions. Deretter ser det TCP-straumar, og i nokre konfigurasjonar også UDP, og returnerer ei avgjerd for kvar av dei.

Feilmodusen er det som forvirrar folk. Eit filter som slepp ein straum, gjev ein timeout, eit fastlåst TLS-handtrykk eller ein reset, som ser nøyaktig ut som ein tunnel som er oppe men ikkje kan føre trafikk. Den offentlege adressa endra seg aldri, fordi det aldri fanst ein utgang som kunne endre henne.

Kommersielle klientar slår ofte saman begge rollene. Éin installatør leverer tunnel-leverandør og filter, filteret blokkerer, og tunnelen ruter. Applikasjonsnamnet seier deg difor ingenting om kva komponent som avviste tilkoplinga. Sjekk utvidingslista, deretter den tilkopla tenesta, deretter klientloggen, i den rekkjefølgja.

Private Relay dekkjer Safari, ikkje maskina

Private Relay sender nettlesinga det dekkjer gjennom to relé som blir drivne av åtskilde partar, så ingen einskild operatør har både identiteten din og destinasjonane dine. Det er ei personvernutforming, ikkje ein tunnel: det finst ingen gateway å gå inn i, ingen privat subnett, og ingen måte å feste ei utgangsadresse i eit land du vel.

Omfanget er med vilje smalt og dekkjer Safari-nettlesing saman med DNS-oppslaga og dei utrygge HTTP-lasta som høyrer til. Ein terminaløkt, ein e-postklient, ein chat-app og ein spele-startar står utanfor. Om ein sjekk i Terminal framleis viser adressa til tilgangsnettet ditt medan Safari viser ei reléadresse, er det venta resultat og ikkje ein øydelagd installasjon.

Tilgjenge er vilkårsbunde. Det krev eit iCloud+-abonnement, det blir ikkje bode i alle regionar, og eit styrt nettverk kan blokkere relé-tilgang, og då fell Safari tilbake til ei direkte tilkopling. Apple sitt oversyn over Private Relay er referansen for det gjeldande omfanget. Når ein VPN-profil er tilkopla og fører denne trafikken, blir reléet ikkje lagt oppå; profilen avgjer vegen.

Les prova i rett rekkjefølgje

Start med tenestestatusen, fordi det er det billigaste signalet. scutil --nc list skriv ut dei konfigurerte VPN-tenestene og om kvar av dei er tilkopla. Ein profil kan liggje der i årevis utan å bli tilkopla, og folk reknar det rutinemessig som ein tunnel.

Sjå deretter på grensesnitt og ruter. ifconfig viser utun-grensesnitt, men berre tilstadeværet deira provar lite, sidan macOS brukar utun til fleire føremål utanom VPN. Det som tel, er om standardruta peikar inn i eit av dei, noko route -n get default rapporterer.

For namneoppslag listar scutil --dns opp dei oppløysarane systemet faktisk vil bruke, og der dukkar ein DNS-proxy-leverandør opp. Å samanlikne dig +short example.com med dig +short example.com @1.1.1.1 skil oppløysaren som svarar frå oppløysaren som blir avlytta.

Aktivitet i utvidingar når den samla loggen: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Du leitar etter kva utviding som starta, og om eit filter rapporterte ei avgjerd for straumen du bryr deg om, ikkje ei linje du skal pugge.

Avgrens symptomet før du slår av noko

Klassifiser feilen først. Eit namn som ikkje blir løyst opp, ei tilkopling som blir avvist med ein gong, og ei tilkopling som heng til timeout, er tre ulike observasjonar med tre ulike eigarar. Oppslag peikar på ein oppløysar eller DNS-proxy. Brå avvising peikar på ei filterregel. Stilla peikar oftast på ruting, eller på ein tunnel som er oppe men ikkje videresender.

På ein styrt Mac bør du gå ut frå at filteret høyrer til organisasjonen. Å slå det av for å teste VPN fjernar nettopp den komponenten du ville observere, og MDM set det ofte tilbake ved neste innsjekk. Spør administratoren om namnet på politikken før du endrar noko, og test med den konkrete appen som feila, ikkje heile systemet.

Ei felle til: å slå av Private Relay for å teste ein VPN seier ingenting om utanlandsk trafikk, fordi reléet aldri dekte den trafikken. Kvart lag må testast i appen det faktisk styrer.

Gå gjennom denne lista og stopp ved første punkt som feilar:

• Visar scutil --nc list tenesta du ventar som tilkopla?
• Er den offentlege adressa som ein ser frå Terminal ulik adressa tilgangsnettet ditt delte ut?
• Er ei filterutviding installert, og logga ho ei avgjerd for straumen som feilar?
• Er feilen berre i Safari? Om ja, sjekk omfanget til reléet før du gir tunnelen skulda.

Om alle fire går gjennom og appen framleis feilar, ligg problemet over nettverkslaget: proxyinnstillingar, sertifikattillit eller ei lista over tillatne på applikasjonsnivå.