Mac VPN, филтер садржаја или Private Relay: шта је активно

На вашем Mac-у могу истовремено бити инсталирани VPN тунел, филтер садржаја и iCloud Private Relay, а ниједан од њих не објављује који од њих обликује дату везу. Панели подешавања изгледају слично, иконе изгледају слично, и готово сваки добављач свој производ назива мрежном безбедношћу. Три чињенице их раздвајају: излази ли саобраћај кроз удаљену одредишну тачку коју можете именовати, доноси ли мотор политике одлуке допусти-или-одбаци на појединачним токовима и зауставља ли се заштита на Safari-ју. Посложите ли то троје, већина питања је-ли-мој-VPN-укључен одговара сама на себе.

Три услова која препознају компоненту

Први је услов излаз. Пружалац тунела предаје пакете удаљеном приступнику, па се ваша јавна адреса мења и, ако профил тако каже, hostovi иза тог приступника постају доступни. Ако се адреса никада не промени и не отвори се никаква приватна подмрежа, не гледате у исправан тунел, шта год писало у траци менија.

Други је услов одлука. Филтер садржаја оцењује токове и враћа допусти или одбаци. Може спровести блокаду категорије, правило по апликацији или политику коју је послао послодавац, и може забележити пресуду. Оно што сам не може јесте да да саобраћају куда да оде.

Трећи је услов обим. Private Relay штити дефинисани део прегледања, а не цео уређај, и његов је посао да раздвоји ко сте од онога што посећујете, а не да вас смести на другу мрежу.

Ставите их један уз други и границе је тешко промашити:

Филтер садржаја је мотор политике, а не излаз

На macOS-у филтер долази као Network Extension изграђен на Apple-овој класи пружаоца података филтрирања, NEFilterDataProvider. У управљаном распоређивању гура га MDM, инсталира се као системско проширење и једном се одобри у System Settings > General > Login Items and Extensions. Од тада види TCP токове, а у неким конфигурацијама и UDP, и враћа пресуду за сваки.

Начин неуспеха је оно што збуњује људе. Филтер који одбаци ток производи истек времена, заглављено TLS руковање или ресет, што изгледа баш као тунел који се подигао али не пропушта саобраћај. Јавна адреса се никада није променила јер није било излаза да је промени.

Комерцијални клијенти често обједињују обе улоге. Један инсталатер доноси пружаоца тунела и филтер, филтер блокира, а тунел усмерава. Име апликације вам стога не говори ништа о томе која је компонента одбила везу. Проверите листу проширења, затим повезану услугу, па дневник клијента, тим редом.

Private Relay покрива Safari, не цело рачунало

Private Relay шаље прегледање које покрива кроз два релеја којима управљају одвојене стране, па ниједан појединачни оператор не држи и ваш идентитет и ваша одредишта. То је дизајн приватности, а не тунел: нема приступника у који можете ући, нема приватне подмреже и нема начина да излазну адресу прикачите у земљи коју одберете.

Његов је обим намерно узак и покрива прегледање у Safari-ју заједно са DNS упитима и небезбедним HTTP учитавањима која га прате. Терминалска сесија, поштански клијент, chat апликација и покретач игара стоје изван њега. Ако провера у Терминалу и даље показује адресу ваше приступне мреже, а Safari показује адресу релеја, то је очекивани резултат, а не покварена инсталација.

Доступност је условна. Потребан је iCloud+ план, не нуди се у свакој регији, а управљана мрежа може блокирати приступ релеју, па Safari прелази на директну везу. Apple-ов преглед Private Relay-а референца је за тренутни обим. Кад је VPN профил повезан и носи тај саобраћај, релеј се не слаже поврх њега; путању одређује профил.

Читајте доказе исправним редом

Почните са стањем услуге јер је то најјефтинији сигнал. scutil --nc list исписује конфигурисане VPN услуге и да ли је свака повезана. Профил може годинама стајати тамо, а да никада није повезан, и људи то редовно рачунају као тунел.

Затим погледајте интерфејсе и руте. ifconfig показује utun интерфејсе, али само њихово присуство мало доказује јер macOS користи utun у више сврха осим VPN-а. Важно је води ли подразумевана рута у неки од њих, што јавља route -n get default.

За разрешавање имена scutil --dns наводи разрешиваче које ће систем заиста користити, а тамо се појављује и пружалац DNS проксија. Поређење dig +short example.com са dig +short example.com @1.1.1.1 раздваја разрешивач који одговара од онога који се пресреће.

Активност проширења стиже у обједињени дневник: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Тражите које је проширење почело и је ли филтер известио о пресуди за ток који вас занима, а не ред за памћење.

Сузите симптом пре него што било шта искључите

Најпре разврстајте квар. Име које се не разрешава, веза која се одмах одбија и веза која виси до истека времена три су различита запажања с три различита власника. Разрешавање упућује на разрешивач или DNS прокси. Тренутно одбијање упућује на правило филтера. Тишина обично упућује на усмеравање или на тунел који је подигнут али не прослеђује.

На управљаном Mac-у претпоставите да филтер припада организацији. Искључивање ради провере VPN-а уклања компоненту коју сте хтели да посматрате, а MDM је често враћа при следећој провери. Питајте администратора за назив политике пре него што било шта промените и тестирајте конкретном апликацијом која је заказала, а не целим системом.

Још једна замка: искључивање Private Relay-а ради провере VPN-а не говори ништа о страном саобраћају јер релеј тај саобраћај никада није ни покривао. Сваки слој мора се тестирати у апликацији којом доиста управља.

Прођите овим списком и зауставите се на првој ставци која падне:

• Приказује ли scutil --nc list очекивану услугу као повезану?
• Разликује ли се јавна адреса виђена из Терминала од адресе коју је доделила ваша приступна мрежа?
• Је ли инсталирано проширење филтера и је ли забележило пресуду за ток који пада?
• Је ли квар само у Safari-ју? Ако јесте, проверите обим релеја пре него што оптужите тунел.

Ако сва четири прођу, а апликација и даље пада, проблем је изнад мрежног слоја: подешавања проксија, поверење у сертификат или списак дозвољених на нивоу апликације.