VPN pe Mac, filtru de conținut sau Private Relay: care este activ
Trei straturi de rețea ale Mac-ului arată la fel în Configurări. Distinge un VPN, un filtru de conținut și Private Relay după calea de ieșire, politica fluxurilor și scopul navigării.
Mac-ul tău poate avea instalate simultan un tunel VPN, un filtru de conținut și iCloud Private Relay, iar niciunul nu anunță care modelează o anumită conexiune. Panourile de configurare arată asemănător, pictogramele arată asemănător, și aproape fiecare furnizor își numește produsul securitate de rețea. Trei fapte le despart: dacă traficul iese printr-un punct final îndepărtat pe care îl poți numi, dacă un motor de politici ia decizii permite-sau-elimină pe fluxuri individuale, și dacă protecția se oprește la Safari. Lămurește aceste trei și majoritatea întrebărilor de tipul e-VPN-ul-meu-pornit își răspund singure.
Trei condiții care identifică componenta
Prima condiție este ieșirea. Un furnizor de tunel predă pachetele unei porți îndepărtate, așa că adresa ta publică se schimbă și, dacă profilul o spune, gazdele din spatele acelei porți devin accesibile. Dacă adresa nu se schimbă niciodată și nu se deschide nicio subrețea privată, nu te uiți la un tunel funcțional, orice ar spune bara de meniu.
A doua condiție este decizia. Un filtru de conținut evaluează fluxuri și returnează permite sau elimină. Poate impune o blocare pe categorii, o regulă per aplicație sau o politică trimisă de un angajator, și poate înregistra verdictul. Ce nu poate face singur este să dea traficului un loc unde să meargă.
A treia condiție este scopul. Private Relay protejează o porțiune definită a navigării, nu un dispozitiv întreg, iar treaba lui este să separe cine ești de ceea ce vizitezi, nu să te plaseze în altă rețea.
Pune-le una lângă alta și granițele sunt greu de ratat:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Un filtru de conținut este un motor de politici, nu o ieșire
Pe macOS un filtru vine ca Network Extension construită pe clasa de furnizor de date de filtrare a Apple, NEFilterDataProvider. Într-o implementare administrată, MDM îl împinge, se instalează ca extensie de sistem și se aprobă o dată în System Settings > General > Login Items and Extensions. De atunci vede fluxuri TCP, iar în unele configurații și UDP, și returnează un verdict pentru fiecare.
Modul de eșec este cel care încurcă oamenii. Un filtru care elimină un flux produce un timp de așteptare depășit, o strângere de mână TLS blocată sau o resetare, ceea ce arată exact ca un tunel ridicat care nu poate trece trafic. Adresa publică nu s-a schimbat niciodată, pentru că nu a existat nicio ieșire care să o schimbe.
Clienții comerciali combină adesea ambele roluri. Un singur instalator aduce furnizor de tunel și filtru, filtrul face blocarea, iar tunelul face rutarea. Numele aplicației nu îți spune deci nimic despre ce componentă a refuzat conexiunea. Verifică lista de extensii, apoi serviciul conectat, apoi jurnalul clientului, în această ordine.
Private Relay acoperă Safari, nu întregul calculator
Private Relay trimite navigarea pe care o acoperă prin două relee operate de părți separate, așa că niciun operator unic nu deține atât identitatea, cât și destinațiile tale. Acesta este un design de confidențialitate, nu un tunel: nu există o poartă în care să intri, nicio subrețea privată și nicio modalitate de a fixa o adresă de ieșire într-o țară pe care o alegi.
Scopul său este deliberat de îngust: acoperă navigarea în Safari împreună cu interogările DNS și încărcările HTTP nesigure care o însoțesc. O sesiune de terminal, un client de e-mail, o aplicație de chat și un lansator de jocuri rămân în afara lui. Dacă o verificare în Terminal arată încă adresa rețelei tale de acces în timp ce Safari arată o adresă de releu, acesta este rezultatul așteptat, nu o instalare defectă.
Disponibilitatea este condiționată. Necesită un abonament iCloud+, nu este oferit în toate regiunile, iar o rețea administrată poate bloca accesul la releu, caz în care Safari revine la o conexiune directă. Prezentarea generală Private Relay de la Apple este referința pentru scopul actual. Când un profil VPN este conectat și transportă acel trafic, releul nu se suprapune; profilul decide calea.
Citește dovezile în ordinea corectă
Începe cu starea serviciului, pentru că este cel mai ieftin semnal. scutil --nc list afișează serviciile VPN configurate și dacă fiecare este conectat. Un profil poate sta acolo ani de zile fără să fie vreodată conectat, iar oamenii îl socotesc în mod obișnuit drept tunel.
Apoi uită-te la interfețe și rute. ifconfig arată interfețe utun, dar simpla lor prezență dovedește puțin, fiindcă macOS folosește utun în mai multe scopuri dincolo de VPN. Contează dacă ruta implicită duce într-una dintre ele, ceea ce raportează route -n get default.
Pentru rezolvarea numelor, scutil --dns listează resolverele pe care sistemul le va folosi efectiv, iar acolo apare un furnizor de proxy DNS. Compararea dig +short example.com cu dig +short example.com @1.1.1.1 separă resolverul care răspunde de resolverul care este interceptat.
Activitatea extensiilor ajunge în jurnalul unificat: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Cauți care extensie a pornit și dacă un filtru a raportat un verdict pentru fluxul care te interesează, nu o linie de memorat.
Îngustează simptomul înainte de a dezactiva ceva
Clasifică mai întâi defecțiunea. Un nume care nu se rezolvă, o conexiune refuzată imediat și o conexiune care atârnă până la expirarea timpului sunt trei observații diferite cu trei responsabili diferiți. Rezolvarea indică un resolver sau un proxy DNS. Refuzul imediat indică o regulă a filtrului. Tăcerea indică de obicei rutarea, sau un tunel ridicat care nu redirecționează.
Pe un Mac administrat, presupune că filtrul aparține organizației. Dezactivarea lui pentru a testa VPN-ul elimină exact componenta pe care voiai să o observi, iar MDM îl restaurează adesea la următoarea verificare. Cere administratorului numele politicii înainte de a schimba ceva și testează cu aplicația concretă care a eșuat, nu cu întregul sistem.
Încă o capcană: oprirea Private Relay pentru a testa un VPN nu spune nimic despre traficul străin, pentru că releul nu a acoperit niciodată acel trafic. Fiecare strat trebuie testat în aplicația pe care o guvernează efectiv.
Parcurge această listă și oprește-te la primul punct care eșuează:
scutil --nc listarată serviciul așteptat ca fiind conectat?- Adresa publică văzută din Terminal diferă de adresa atribuită de rețeaua ta de acces?
- Este instalată o extensie de filtrare și a înregistrat un verdict pentru fluxul care eșuează?
- Defecțiunea apare doar în Safari? Dacă da, verifică scopul releului înainte de a da vina pe tunel.
Dacă toate patru trec și aplicația tot eșuează, problema este deasupra stratului de rețea: setări de proxy, încrederea în certificate sau o listă de permisiuni la nivel de aplicație.