VPN na Macu, filter obsahu alebo Private Relay: čo je aktívne
Tri sieťové vrstvy na Macu vyzerajú v Nastaveniach rovnako. Rozlíšte VPN, filter obsahu a Private Relay podľa výstupnej cesty, politiky tokov a rozsahu prehliadania.
Váš Mac môže mať súčasne nainštalovaný tunel VPN, filter obsahu a iCloud Private Relay a ani jeden z nich neoznámi, ktorý formuje dané pripojenie. Panely nastavení vyzerajú podobne, ikony vyzerajú podobne a takmer každý dodávateľ nazýva svoj produkt sieťovou bezpečnosťou. Tri skutočnosti ich oddeľujú: či prevádzka odchádza cez vzdialený koncový bod, ktorý viete pomenovať, či politický engine rozhoduje povoliť-alebo-zahodiť pri jednotlivých tokoch a či sa ochrana končí pri Safari. Keď si tieto tri zrovnáte, väčšina otázok typu je-moje-VPN-zapnuté odpovie sama.
Tri podmienky, ktoré identifikujú komponent
Prvá podmienka je výstup. Poskytovateľ tunela odovzdáva pakety vzdialenej bráne, takže sa vaša verejná adresa mení a, ak to profil uvádza, hostitelia za touto bránou sa stanú dostupnými. Ak sa adresa nikdy nemení a neotvorí sa žiadna privátna pods ieť, nepozeráte sa na funkčný tunel, nech hovorí menu bar čokoľvek.
Druhou podmienkou je rozhodnutie. Filter obsahu hodnotí toky a vracia povoliť alebo zahodiť. Dokáže presadiť blokovanie kategórie, pravidlo pre aplikáciu alebo politiku odoslanú zamestnávateľom a dokáže verdikt zaznamenať. Čo sám nedokáže, je dať prevádzke miesto, kam má ísť.
Treťou podmienkou je rozsah. Private Relay chráni vymedzenú časť prehliadania, nie celé zariadenie, a jeho úlohou je oddeliť to, kým ste, od toho, čo navštevujete, nie umiestniť vás do inej siete.
Postavte ich vedľa seba a hranice sa ťažko prehliadnu:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Filter obsahu je politický engine, nie výstup
V macOS prichádza filter ako Network Extension postavené na triede poskytovateľa filtrovacích údajov Apple, NEFilterDataProvider. V spravovanom nasadení ho tlačí MDM, inštaluje sa ako systémové rozšírenie a raz sa schvaľuje v System Settings > General > Login Items and Extensions. Odvtedy vidí TCP toky a v niektorých konfiguráciách aj UDP a pre každý vracia verdikt.
To, čo mätie ľudí, je spôsob zlyhania. Filter, ktorý tok zahodí, vytvorí časový limit, zaseknutý TLS handshake alebo reset, čo vyzerá presne ako tunel, ktorý sa zdvihol, ale neprepúšťa prevádzku. Verejná adresa sa nikdy nezmenila, pretože neexistoval výstup, ktorý by ju zmenil.
Komerční klienti často zlučujú obe roly. Jeden inštalátor prináša poskytovateľa tunela aj filter, filter blokuje a tunel smeruje. Názov aplikácie vám teda nič nehovorí o tom, ktorý komponent pripojenie odmietol. Skontrolujte zoznam rozšírení, potom pripojenú službu, potom log klienta, v tomto poradí.
Private Relay pokrýva Safari, nie celý počítač
Private Relay posiela prehliadanie, ktoré pokrýva, cez dva relaye prevádzkované oddelenými stranami, takže žiadny jediný operátor nemá vašu identitu aj vaše destinácie naraz. To je dizajn súkromia, nie tunel: nie je tu brána, do ktorej by sa dalo vstúpiť, žiadna privátna pods ieť a žiadny spôsob, ako pripnúť výstupnú adresu v krajine, ktorú si vyberiete.
Jeho rozsah je zámerne úzky: pokrýva prehliadanie v Safari spolu s DNS dopytmi a nezabezpečenými HTTP načítaniami, ktoré k tomu patria. Terminálová relácia, poštový klient, chatovacia aplikácia a spúšťač hier stoja mimo. Ak kontrola v Termináli stále ukazuje adresu vašej prístupovej siete, kým Safari ukazuje adresu relaye, je to očakávaný výsledok, nie pokazená inštalácia.
Dostupnosť je podmienená. Vyžaduje plán iCloud+, neponúka sa v každom regióne a spravovaná sieť môže zablokovať prístup k relayu, pričom Safari sa vráti k priamemu pripojeniu. Prehľad Private Relay od Apple je referenciou pre aktuálny rozsah. Keď je profil VPN pripojený a nesie túto prevádzku, relay sa naň neukladá; cestu určuje profil.
Čítajte dôkazy v správnom poradí
Začnite stavom služby, pretože je to najlacnejší signál. scutil --nc list vypíše nakonfigurované služby VPN a to, či je každá pripojená. Profil tam môže roky ležať bez toho, aby sa kedy pripojil, a ľudia to bežne počítajú ako tunel.
Potom sa pozrite na rozhrania a trasy. ifconfig ukazuje rozhrania utun, ale ich samotná prítomnosť veľa nedokazuje, keďže macOS používa utun na viacero účelov okrem VPN. Dôležité je, či predvolená trasa vedie do niektorého z nich, čo hlási route -n get default.
Pre preklad názvov scutil --dns vypíše prekladače, ktoré systém skutočne použije, a objaví sa tam poskytovateľ DNS proxy. Porovnanie dig +short example.com s dig +short example.com @1.1.1.1 oddelí prekladač, ktorý odpovedá, od prekladača, ktorý sa zachytáva.
Aktivita rozšírení sa dostane do zjednoteného logu: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Hľadáte, ktoré rozšírenie sa spustilo a či filter ohlásil verdikt pre tok, na ktorom vám záleží, nie riadok na zapamätanie.
Zúžte príznak, kým čokoľvek vypnete
Najprv poruchu klasifikujte. Názov, ktorý sa nepreloží, spojenie okamžite odmietnuté a spojenie visiace do časového limitu sú tri rôzne pozorovania s tromi rôznymi vlastníkmi. Preklad ukazuje na prekladač alebo DNS proxy. Okamžité odmietnutie ukazuje na pravidlo filtra. Ticho zvyčajne ukazuje na smerovanie alebo na tunel, ktorý je zdvihnutý, ale nepreposiela.
Na spravovanom Macu predpokladajte, že filter patrí organizácii. Vypnutie kvôli testu VPN odstráni práve ten komponent, ktorý ste chceli pozorovať, a MDM ho často pri ďalšej kontrole obnoví. Pred akoukoľvek zmenou sa opýtajte správcu na názov politiky a testujte konkrétnou aplikáciou, ktorá zlyhala, nie celým systémom.
Ešte jedna pasca: vypnutie Private Relay kvôli testu VPN nepovie nič o zahraničnej prevádzke, pretože relay túto prevádzku nikdy nepokrýval. Každú vrstvu treba testovať v aplikácii, ktorej naozaj vládne.
Prejdite tento zoznam a zastavte sa pri prvej položke, ktorá zlyhá:
- Zobrazuje
scutil --nc listočakávanú službu ako pripojenú? - Líši sa verejná adresa videná z Terminálu od adresy, ktorú pridelila vaša prístupová sieť?
- Je nainštalované filtrovacie rozšírenie a zaznamenalo verdikt pre zlyhávajúci tok?
- Zlyháva to len v Safari? Ak áno, pred obviňovaním tunela skontrolujte rozsah relaye.
Ak všetky štyri prejdú a aplikácia stále zlyháva, problém je nad sieťovou vrstvou: nastavenia proxy, dôvera k certifikátu alebo zoznam povolených na úrovni aplikácie.