VPN na Macu, filter vsebine ali Private Relay: kateri je aktiven
Tri mrežne plasti na Macu so v Nastavitvah videti enako. Ločite VPN, filter vsebine in Private Relay po izhodni poti, politiki tokov in obsegu brskanja.
Na vašem Macu so lahko hkrati nameščeni tunel VPN, filter vsebine in iCloud Private Relay, in noben od njih ne sporoči, kateri oblikuje določeno povezavo. Plošče nastavitev so si podobne, ikone so si podobne in skoraj vsak ponudnik svoj izdelek imenuje omrežna varnost. Tri dejstva jih ločijo: ali promet odhaja skozi oddaljeno končno točko, ki jo znate poimenovati, ali politični motor odloča dovoli-ali-zavrzi pri posameznih tokovih in ali se zaščita ustavi pri Safariju. Ko te tri uredite, se večina vprašanj ali-je-moj-VPN-vklopljen odgovori sama.
Trije pogoji, ki prepoznajo komponento
Prvi pogoj je izhod. Ponudnik tunela izroči pakete oddaljenemu prehodu, zato se vaš javni naslov spremeni in, če profil tako pravi, postanejo gostitelji za tem prehodom dosegljivi. Če se naslov nikoli ne spremeni in se ne odpre nobeno zasebno podomrežje, ne gledate delujočega tunela, kar koli pravi menijska vrstica.
Drugi pogoj je odločitev. Filter vsebine ocenjuje tokove in vrne dovoli ali zavrzi. Lahko uveljavi blokado kategorije, pravilo za posamezno aplikacijo ali politiko, ki jo pošlje delodajalec, in lahko zabeleži razsodbo. Česar sam ne zmore, je dati prometu mesto, kamor naj gre.
Tretji pogoj je obseg. Private Relay ščiti določen del brskanja in ne cele naprave, njegova naloga pa je ločiti, kdo ste, od tega, kar obiskujete, ne pa vas postaviti v drugo omrežje.
Postavite jih enega ob drugega in meje je težko spregledati:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Filter vsebine je politični motor, ne izhod
V macOS pride filter kot Network Extension, zgrajen na Applovem razredu ponudnika podatkov filtriranja NEFilterDataProvider. V upravljani namestitvi ga potisne MDM, namesti se kot sistemska razširitev in enkrat odobri v System Settings > General > Login Items and Extensions. Od takrat vidi tokove TCP, v nekaterih konfiguracijah tudi UDP, in za vsakega vrne razsodbo.
Ljudje se zmedejo zaradi načina odpovedi. Filter, ki tok zavrže, povzroči potek časa, zataknjen rokovanje TLS ali ponastavitev, kar je videti natanko kot tunel, ki se je dvignil, a ne prepušča prometa. Javni naslov se ni nikoli spremenil, ker ni bilo izhoda, ki bi ga spremenil.
Poslovni odjemalci pogosto združujejo obe vlogi. En namestitveni program prinese ponudnika tunela in filter, filter blokira, tunel usmerja. Ime aplikacije vam torej ne pove ničesar o tem, katera komponenta je zavrnila povezavo. Preverite seznam razširitev, nato povezano storitev, nato dnevnik odjemalca, v tem vrstnem redu.
Private Relay pokriva Safari, ne celega računalnika
Private Relay pošilja brskanje, ki ga pokriva, skozi dva releja, ki jih upravljajo ločene strani, tako da noben posamezni operater nima hkrati vaše identitete in vaših ciljev. To je zasnova zasebnosti, ne tunel: ni prehoda, v katerega bi vstopili, ni zasebnega podomrežja in ni načina, da bi izhodni naslov pripeli v državi, ki jo izberete.
Njegov obseg je namerno ozek: pokriva brskanje v Safariju skupaj z poizvedbami DNS in nevarnimi nalaganji HTTP, ki spadajo zraven. Terminalska seja, poštni odjemalec, klepetalna aplikacija in zaganjalnik iger ostanejo zunaj. Če preverjanje v Terminalu še vedno kaže naslov vašega dostopovnega omrežja, medtem ko Safari kaže naslov releja, je to pričakovani rezultat in ne pokvarjena namestitev.
Razpoložljivost je pogojna. Potrebuje paket iCloud+, ne ponuja se v vseh regijah, upravljano omrežje pa lahko blokira dostop do releja, in takrat Safari pade nazaj na neposredno povezavo. Applov pregled Private Relay je referenca za trenutni obseg. Ko je profil VPN povezan in nosi ta promet, se rele ne zloži nanj; pot določi profil.
Dokaze berite v pravem vrstnem redu
Začnite s stanjem storitve, ker je to najcenejši signal. scutil --nc list izpiše nastavljene storitve VPN in ali je vsaka povezana. Profil lahko tam leži leta, ne da bi bil kdaj povezan, in ljudje to rutinsko štejejo kot tunel.
Nato poglejte vmesnike in poti. ifconfig pokaže vmesnike utun, a njihova sama prisotnost malo dokazuje, saj macOS uporablja utun za več namenov poleg VPN. Pomembno je, ali privzeta pot vodi v katerega od njih, kar sporoči route -n get default.
Za razreševanje imen scutil --dns navede razreševalnike, ki jih bo sistem dejansko uporabil, in tam se pojavi ponudnik proxyja DNS. Primerjava dig +short example.com s dig +short example.com @1.1.1.1 loči razreševalnik, ki odgovarja, od tistega, ki se prestreza.
Dejavnost razširitev pride v poenoten dnevnik: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Iščete, katera razširitev se je začela in ali je filter sporočil razsodbo za tok, ki vas zanima, ne vrstice za pomnjenje.
Zožite simptom, preden kar koli izklopite
Najprej razvrstite okvaro. Ime, ki se ne razreši, povezava, ki je takoj zavrnjena, in povezava, ki visi do poteka časa, so tri različna opažanja s tremi različnimi lastniki. Razreševanje kaže na razreševalnik ali proxy DNS. Takojšnja zavrnitev kaže na pravilo filtra. Tišina običajno kaže na usmerjanje ali na tunel, ki je dvignjen, a ne posreduje.
Na upravljanem Macu predpostavite, da filter pripada organizaciji. Če ga izklopite zaradi preizkusa VPN, odstranite prav tisto komponento, ki ste jo hoteli opazovati, MDM pa jo pogosto obnovi ob naslednjem preverjanju. Preden kar koli spremenite, vprašajte skrbnika za ime politike, in preizkusite s konkretno aplikacijo, ki je odpovedala, ne s celotnim sistemom.
Še ena past: izklop Private Relay zaradi preizkusa VPN ne pove ničesar o tujem prometu, ker rele tega prometa ni nikoli pokrival. Vsako plast je treba preizkusiti v aplikaciji, ki ji res vlada.
Pojdite skozi ta seznam in se ustavite pri prvi postavki, ki odpove:
- Ali
scutil --nc listprikaže pričakovano storitev kot povezano? - Se javni naslov, viden iz Terminala, razlikuje od naslova, ki ga je dodelilo vaše dostopovno omrežje?
- Je nameščena razširitev filtriranja in ali je zabeležila razsodbo za tok, ki odpoveduje?
- Je okvara le v Safariju? Če da, preverite obseg releja, preden obtožite tunel.
Če vse štiri uspejo in aplikacija še vedno odpove, je težava nad omrežno plastjo: nastavitve proxyja, zaupanje v potrdilo ali seznam dovoljenih na ravni aplikacije.