VPN i Mac, filtër përmbajtjeje apo Private Relay: cili është aktiv
Tre shtresa rrjeti të Mac-ut duken njësoj në Cilësimet. Dalloni një VPN, një filtër përmbajtjeje dhe Private Relay nga rruga e daljes, politika e rrjedhave dhe shtrirja e shfletimit.
Mac-i juaj mund të ketë të instaluar njëkohësisht një tunel VPN, një filtër përmbajtjeje dhe iCloud Private Relay, dhe asnjëri prej tyre nuk njofton se cili po formëson një lidhje të caktuar. Panelet e cilësimeve duken të ngjashme, ikonat duken të ngjashme, dhe pothuajse çdo furnizues e quan produktin e vet siguri rrjeti. Tre fakte i ndajnë: nëse trafiku del përmes një pike fundore të largët që ju mund ta emërtoni, nëse një motor politike merr vendime lejo-ose-hidh për rrjedha individuale, dhe nëse mbrojtja ndalon te Safari. Rregulloni këto të treja dhe shumica e pyetjeve a-eshtë-i-ndezur-VPN-i-im përgjigjen vetë.
Tre kushte që identifikojnë komponentin
Kushti i parë është dalja. Ofruesi i tunelit i dorëzon paketat një porte të largët, kështu që adresa juaj publike ndryshon dhe, nëse profili e thotë këtë, hostet pas asaj porte bëhen të arritshme. Nëse adresa nuk ndryshon kurrë dhe nuk hapet asnjë nënrrjet privat, nuk po shikoni një tunel që funksionon, çfarëdo që thotë shiriti i menusë.
Kushti i dytë është vendimi. Një filtër përmbajtjeje vlerëson rrjedhat dhe kthen lejo ose hidh. Ai mund të zbatojë një bllokim kategorie, një rregull për aplikacion ose një politikë të dërguar nga punëdhënësi, dhe mund ta regjistrojë vendimin. Ajo që nuk mund të bëjë vetë është t'i japë trafikut një vend ku të shkojë.
Kushti i tretë është shtrirja. Private Relay mbron një pjesë të përcaktuar të shfletimit dhe jo një pajisje të tërë, dhe detyra e tij është të ndajë kush jeni nga ajo që vizitoni, jo t'ju vendosë në një rrjet tjetër.
Vendosini të tre pranë njëri-tjetrit dhe kufijtë vështirë humbin:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Një filtër përmbajtjeje është motor politike, jo dalje
Në macOS filtri vjen si Network Extension e ndërtuar mbi klasën e ofruesit të të dhënave të filtrimit të Apple, NEFilterDataProvider. Në një vendosje të menaxhuar e shtyn MDM-ja, instalohet si zgjerim sistemi dhe miratohet një herë nën System Settings > General > Login Items and Extensions. Prej andej shikon rrjedha TCP, dhe në disa konfigurime edhe UDP, dhe kthen një vendim për secilën.
Mënyra e dështimit është ajo që i ngatërron njerëzit. Një filtër që hedh një rrjedhë prodhon një skadim kohe, një shtrëngim duarsh TLS të bllokuar ose një rivendosje, që duket saktësisht si një tunel që u ngrit por nuk kalon trafik. Adresa publike nuk ndryshoi kurrë, sepse nuk kishte kurrë një dalje që ta ndryshonte.
Klientët komercialë shpesh i bashkojnë të dy rolet. Një instalues i vetëm sjell ofruesin e tunelit dhe filtrin, filtri bën bllokimin dhe tuneli bën rrugëtimin. Pra emri i aplikacionit nuk ju thotë asgjë për atë se cili komponent e refuzoi lidhjen. Kontrolloni listën e zgjerimeve, pastaj shërbimin e lidhur, pastaj regjistrin e klientit, në atë rend.
Private Relay mbulon Safari, jo makinën
Private Relay e dërgon shfletimin që mbulon përmes dy releve të operuara nga palë të ndara, kështu që asnjë operator i vetëm nuk mban njëkohësisht identitetin tuaj dhe destinacionet tuaja. Ky është një dizajn privatësie, jo një tunel: nuk ka portë ku të hyni, as nënrrjet privat, as mënyrë për të fiksuar një adresë daljeje në një vend që ju zgjidhni.
Shtrirja e tij është qëllimisht e ngushtë: mbulon shfletimin në Safari bashkë me kërkesat DNS dhe ngarkesat HTTP jo të sigurta që e shoqërojnë. Një sesion terminali, një klient poste, një aplikacion bisede dhe një nisës lojërash qëndrojnë jashtë tij. Nëse një kontroll në Terminal vazhdon të tregojë adresën e rrjetit tuaj të aksesit ndërsa Safari tregon një adresë releje, ai është rezultati i pritur, jo një instalim i prishur.
Disponueshmëria është e kushtëzuar. Kërkon një plan iCloud+, nuk ofrohet në çdo rajon, dhe një rrjet i menaxhuar mund të bllokojë aksesin në rele, me ç'rast Safari kthehet në një lidhje të drejtpërdrejtë. Përmbledhja e Private Relay nga Apple është referenca për shtrirjen aktuale. Kur një profil VPN është i lidhur dhe e mbart atë trafik, releja nuk vendoset sipër tij; profili vendos rrugën.
Lexoni provat në rendin e duhur
Filloni me gjendjen e shërbimit, sepse është sinjali më i lirë. scutil --nc list shtyp shërbimet VPN të konfiguruara dhe nëse secili është i lidhur. Një profil mund të rrijë atje me vite pa u lidhur kurrë, dhe njerëzit zakonisht e numërojnë si tunel.
Pastaj shikoni ndërfaqet dhe rrugët. ifconfig tregon ndërfaqe utun, por vetë prania e tyre provon pak, pasi macOS përdor utun për disa qëllime përveç VPN-së. Ajo që ka rëndësi është nëse rruga e paracaktuar shkon në njërën prej tyre, gjë që raporton route -n get default.
Për zgjidhjen e emrave, scutil --dns liston zgjidhësit që sistemi do të përdorë vërtet, dhe atje shfaqet një ofrues proxy DNS. Krahasimi i dig +short example.com me dig +short example.com @1.1.1.1 ndan zgjidhësin që përgjigjet nga zgjidhësi që po përgjohet.
Aktiviteti i zgjerimeve arrin në regjistrin e unifikuar: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Po kërkoni cili zgjerim filloi dhe nëse një filtër raportoi një vendim për rrjedhën që ju intereson, jo një rresht për t'u mësuar përmendësh.
Ngushtoni simptomën përpara se të çaktivizoni gjë
Së pari klasifikoni dështimin. Një emër që nuk zgjidhet, një lidhje e refuzuar menjëherë dhe një lidhje që varet deri në skadim kohe janë tre vëzhgime të ndryshme me tre përgjegjës të ndryshëm. Zgjidhja të çon te një zgjidhës ose proxy DNS. Refuzimi i menjëhershëm të çon te një rregull filtri. Heshtja zakonisht të çon te rrugëtimi, ose te një tunel që është ngritur por nuk përcjell.
Në një Mac të menaxhuar, supozoni se filtri i përket organizatës. Çaktivizimi i tij për të testuar VPN-në heq pikërisht komponentin që donit të vëzhgonit, dhe MDM-ja shpesh e rikthen në kontrollin tjetër. Pyesni administratorin për emrin e politikës përpara se të ndryshoni gjë, dhe testoni me aplikacionin konkret që dështoi, jo me të gjithë sistemin.
Edhe një kurth: fikja e Private Relay për të testuar një VPN nuk thotë asgjë për trafikun e huaj, sepse releja nuk e mbuloi kurrë atë trafik. Çdo shtresë duhet të testohet në aplikacionin që ajo qeveris vërtet.
Kaloni nëpër këtë listë dhe ndaloni te pika e parë që dështon:
scutil --nc liste tregon shërbimin që prisni si të lidhur?- A është adresa publike që shihet nga Terminali e ndryshme nga adresa që dha rrjeti juaj i aksesit?
- A është i instaluar një zgjerim filtri, dhe a regjistroi ai një vendim për rrjedhën që dështon?
- A është dështimi vetëm në Safari? Nëse po, kontrolloni shtrirjen e reles përpara se të fajësoni tunelin.
Nëse të katër kalojnë dhe aplikacioni vazhdon të dështojë, problemi qëndron mbi shtresën e rrjetit: cilësime proxy, besim certifikate ose një listë lejimesh në nivel aplikacioni.