Mac VPN, కంటెంట్ ఫిల్టర్ లేదా Private Relay: ఏది సక్రియంగా ఉంది
Mac యొక్క మూడు నెట్వర్క్ పొరలు సెట్టింగ్లలో ఒకేలా కనిపిస్తాయి. నిష్క్రమణ మార్గం, ఫ్లో విధానం మరియు బ్రౌజింగ్ పరిధి ద్వారా VPN, కంటెంట్ ఫిల్టర్ మరియు Private Relayలను వేరు చేయండి.
మీ Macలో ఒకేసారి VPN టన్నెల్, కంటెంట్ ఫిల్టర్ మరియు iCloud Private Relay ఇన్స్టాల్ అయి ఉండవచ్చు, మరియు వాటిలో ఏదీ ఇచ్చిన కనెక్షన్ను ఏది రూపొందిస్తోందో ప్రకటించదు. సెట్టింగ్ ప్యానెల్లు ఒకేలా కనిపిస్తాయి, చిహ్నాలు ఒకేలా కనిపిస్తాయి, మరియు దాదాపు ప్రతి విక్రేత తన ఉత్పత్తిని నెట్వర్క్ భద్రత అని పిలుస్తాడు. మూడు వాస్తవాలు వాటిని వేరు చేస్తాయి: ట్రాఫిక్ మీరు పేరు పెట్టగల దూరపు ముగింపు బిందువు ద్వారా బయటకు వెళ్తుందా, విధాన ఇంజిన్ వ్యక్తిగత ఫ్లోలపై అనుమతించు-లేదా-తిరస్కరించు నిర్ణయాలు తీసుకుంటుందా, మరియు రక్షణ Safariలో ఆగుతుందా. ఈ మూడింటిని స్పష్టం చేసుకుంటే నా-VPN-ఆన్లో-ఉందా వంటి చాలా ప్రశ్నలు తమంతట తామే సమాధానమిస్తాయి.
భాగాన్ని గుర్తించే మూడు షరతులు
మొదటి షరతు నిష్క్రమణ. టన్నెల్ ప్రదాత ప్యాకెట్లను దూరపు గేట్వేకు అప్పగిస్తాడు, కాబట్టి మీ పబ్లిక్ చిరునామా మారుతుంది మరియు, ప్రొఫైల్ అలా చెబితే, ఆ గేట్వే వెనుక ఉన్న హోస్ట్లు చేరుకోగలిగేవి అవుతాయి. చిరునామా ఎప్పుడూ మారకపోతే మరియు ఏ ప్రైవేట్ సబ్నెట్ తెరుచుకోకపోతే, మెను బార్ ఏమి చెప్పినా, మీరు పనిచేసే టన్నెల్ను చూడటం లేదు.
రెండవ షరతు నిర్ణయం. కంటెంట్ ఫిల్టర్ ఫ్లోలను మూల్యాంకనం చేసి అనుమతించు లేదా తిరస్కరించు తిరిగి ఇస్తుంది. ఇది వర్గ నిరోధం, ప్రతి యాప్కు నియమం లేదా యజమాని పంపిన విధానాన్ని అమలు చేయగలదు, మరియు తీర్పును నమోదు చేయగలదు. ఒంటరిగా అది చేయలేనిది ట్రాఫిక్కు వెళ్లడానికి స్థలం ఇవ్వడం.
మూడవ షరతు పరిధి. Private Relay మొత్తం పరికరాన్ని కాదు, బ్రౌజింగ్లోని నిర్దిష్ట భాగాన్ని రక్షిస్తుంది, మరియు దాని పని మీరు ఎవరో దాన్ని మీరు సందర్శించే దాని నుండి వేరు చేయడం, మిమ్మల్ని మరో నెట్వర్క్లో ఉంచడం కాదు.
మూడింటిని పక్కపక్కన ఉంచండి, హద్దులను మిస్ చేయడం కష్టం:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
కంటెంట్ ఫిల్టర్ విధాన ఇంజిన్, నిష్క్రమణ కాదు
macOSలో ఫిల్టర్ Network Extensionగా వస్తుంది, ఇది Apple యొక్క ఫిల్టర్ డేటా ప్రదాత క్లాస్ NEFilterDataProviderపై నిర్మించబడింది. నిర్వహిత అమరికలో దాన్ని MDM నెట్టుతుంది, సిస్టమ్ పొడిగింపుగా ఇన్స్టాల్ అవుతుంది మరియు System Settings > General > Login Items and Extensionsలో ఒకసారి ఆమోదించబడుతుంది. అప్పటి నుండి TCP ఫ్లోలను, కొన్ని కాన్ఫిగరేషన్లలో UDPనూ చూస్తుంది, మరియు ప్రతిదానిపై తీర్పు తిరిగి ఇస్తుంది.
ప్రజలను గందరగోళానికి గురిచేసేది వైఫల్య విధానం. ఫ్లోను తిరస్కరించే ఫిల్టర్ సమయం ముగియడం, నిలిచిపోయిన TLS పరస్పర చర్య లేదా రీసెట్ను ఉత్పత్తి చేస్తుంది, ఇది లేచినా ట్రాఫిక్ను దాటించలేని టన్నెల్లా కనిపిస్తుంది. పబ్లిక్ చిరునామా ఎప్పుడూ మారలేదు, ఎందుకంటే దాన్ని మార్చే నిష్క్రమణే లేదు.
వాణిజ్య క్లయింట్లు తరచుగా రెండు పాత్రలను కలిపి తెస్తాయి. ఒకే ఇన్స్టాలర్ టన్నెల్ ప్రదాతను మరియు ఫిల్టర్ను తెస్తుంది, నిరోధించడం ఫిల్టర్ చేస్తుంది, మార్గనిర్దేశం టన్నెల్ చేస్తుంది. కాబట్టి ఏ భాగం కనెక్షన్ను తిరస్కరించిందో యాప్ పేరు చెప్పదు. పొడిగింపుల జాబితా, ఆపై కనెక్ట్ అయిన సేవ, ఆపై క్లయింట్ లాగ్, అదే క్రమంలో తనిఖీ చేయండి.
Private Relay Safariని కవర్ చేస్తుంది, మొత్తం మెషీన్ను కాదు
Private Relay తాను కవర్ చేసే బ్రౌజింగ్ను వేర్వేరు పక్షాలు నిర్వహించే రెండు రిలేల ద్వారా పంపుతుంది, కాబట్టి ఏ ఒక్క ఆపరేటర్ వద్దా మీ గుర్తింపు మరియు మీ గమ్యస్థానాలు రెండూ ఉండవు. ఇది గోప్యతా రూపకల్పన, టన్నెల్ కాదు: ప్రవేశించడానికి గేట్వే లేదు, ప్రైవేట్ సబ్నెట్ లేదు, మరియు మీరు ఎంచుకున్న దేశంలో నిష్క్రమణ చిరునామాను పిన్ చేయడానికి మార్గం లేదు.
దాని పరిధి ఉద్దేశపూర్వకంగా సన్నగా ఉంది: Safari బ్రౌజింగ్తో పాటు దానితో వచ్చే DNS ప్రశ్నలు మరియు అసురక్షిత HTTP లోడ్లను కవర్ చేస్తుంది. టెర్మినల్ సెషన్, మెయిల్ క్లయింట్, చాట్ యాప్ మరియు గేమ్ లాంచర్ దాని వెలుపల ఉన్నాయి. టెర్మినల్లో తనిఖీ ఇప్పటికీ మీ యాక్సెస్ నెట్వర్క్ చిరునామాను చూపిస్తూ Safari రిలే చిరునామాను చూపిస్తే, అదే ఆశించిన ఫలితం, పాడైన ఇన్స్టాల్ కాదు.
లభ్యత షరతులకు లోబడి ఉంటుంది. దానికి iCloud+ ప్లాన్ అవసరం, ప్రతి ప్రాంతంలో అందించబడదు, మరియు నిర్వహిత నెట్వర్క్ రిలే యాక్సెస్ను నిరోధించవచ్చు, ఆ స్థితిలో Safari నేరుగా కనెక్షన్కు తిరిగి వెళ్తుంది. Apple యొక్క Private Relay అవలోకనం ప్రస్తుత పరిధికి సూచన. VPN ప్రొఫైల్ కనెక్ట్ అయి ఆ ట్రాఫిక్ను మోస్తున్నప్పుడు, రిలే దానిపై పొరగా చేరదు; మార్గాన్ని ప్రొఫైల్ నిర్ణయిస్తుంది.
సాక్ష్యాలను సరైన క్రమంలో చదవండి
సేవ స్థితితో ప్రారంభించండి, ఎందుకంటే అది అత్యంత చవకైన సంకేతం. scutil --nc list కాన్ఫిగర్ చేసిన VPN సేవలను మరియు ప్రతిదీ కనెక్ట్ అయిందా అని ముద్రిస్తుంది. ప్రొఫైల్ ఎప్పుడూ కనెక్ట్ కాకుండా సంవత్సరాల తరబడి అక్కడ ఉండవచ్చు, మరియు ప్రజలు దాన్ని సాధారణంగా టన్నెల్గా లెక్కిస్తారు.
తర్వాత ఇంటర్ఫేస్లు మరియు మార్గాలను చూడండి. ifconfig utun ఇంటర్ఫేస్లను చూపిస్తుంది, కానీ వాటి ఉనికి మాత్రమే పెద్దగా నిరూపించదు, ఎందుకంటే macOS utunను VPNతో పాటు అనేక ప్రయోజనాలకు ఉపయోగిస్తుంది. ముఖ్యమైనది డిఫాల్ట్ మార్గం వాటిలో ఒకటిలోకి వెళ్తుందా అనేది, దాన్ని route -n get default నివేదిస్తుంది.
పేరు పరిష్కారం కోసం scutil --dns సిస్టమ్ నిజంగా ఉపయోగించే పరిష్కర్తలను జాబితా చేస్తుంది, అక్కడ DNS ప్రాక్సీ ప్రదాత కనిపిస్తాడు. dig +short example.com ను dig +short example.com @1.1.1.1 తో పోల్చడం సమాధానమిస్తున్న పరిష్కర్తను అడ్డగించబడుతున్న పరిష్కర్త నుండి వేరు చేస్తుంది.
పొడిగింపు కార్యకలాపం ఏకీకృత లాగ్కు చేరుతుంది: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. మీకు ముఖ్యమైన ఫ్లోపై ఏ పొడిగింపు ప్రారంభమైంది మరియు ఫిల్టర్ తీర్పును నివేదించిందా అని వెతుకుతున్నారు, బట్టీ పట్టాల్సిన పంక్తిని కాదు.
ఏదైనా నిలిపివేయడానికి ముందు లక్షణాన్ని సన్నగా చేయండి
మొదట వైఫల్యాన్ని వర్గీకరించండి. పరిష్కారం కాని పేరు, తక్షణమే తిరస్కరించబడిన కనెక్షన్, మరియు సమయం ముగిసే వరకు వేలాడే కనెక్షన్ — ఇవి మూడు వేర్వేరు పరిశీలనలు, మూడు వేర్వేరు బాధ్యులతో. పరిష్కారం పరిష్కర్త లేదా DNS ప్రాక్సీని సూచిస్తుంది. తక్షణ తిరస్కరణ ఫిల్టర్ నియమాన్ని సూచిస్తుంది. నిశ్శబ్దం సాధారణంగా మార్గనిర్దేశాన్ని, లేదా లేచినా పంపని టన్నెల్ను సూచిస్తుంది.
నిర్వహిత Macలో ఫిల్టర్ సంస్థది అని భావించండి. VPNను పరీక్షించడానికి దాన్ని నిలిపివేయడం మీరు గమనించదలచిన భాగాన్నే తొలగిస్తుంది, మరియు MDM తదుపరి తనిఖీలో దాన్ని తరచుగా పునరుద్ధరిస్తుంది. ఏదైనా మార్చే ముందు నిర్వాహకుడిని విధానం పేరు అడగండి, మరియు మొత్తం సిస్టమ్కు బదులు విఫలమైన ఆ నిర్దిష్ట యాప్తో పరీక్షించండి.
మరో ఉచ్చు: VPNను పరీక్షించడానికి Private Relayని ఆఫ్ చేయడం విదేశీ ట్రాఫిక్ గురించి ఏమీ చెప్పదు, ఎందుకంటే రిలే ఆ ట్రాఫిక్ను ఎప్పుడూ కవర్ చేయలేదు. ప్రతి పొరను అది నిజంగా పాలించే యాప్లో పరీక్షించాలి.
ఈ జాబితా గుండా వెళ్లి విఫలమయ్యే మొదటి అంశంలో ఆగండి:
scutil --nc listమీరు ఆశించే సేవను కనెక్ట్ అయినట్టు చూపిస్తుందా?- టెర్మినల్ నుండి కనిపించే పబ్లిక్ చిరునామా మీ యాక్సెస్ నెట్వర్క్ ఇచ్చిన చిరునామా కంటే భిన్నంగా ఉందా?
- ఫిల్టర్ పొడిగింపు ఇన్స్టాల్ అయి ఉందా, విఫలమవుతున్న ఫ్లోకు తీర్పును నమోదు చేసిందా?
- వైఫల్యం Safariలో మాత్రమేనా? అలా అయితే, టన్నెల్ను నిందించే ముందు రిలే పరిధిని తనిఖీ చేయండి.
నాలుగూ దాటినా యాప్ ఇంకా విఫలమైతే, సమస్య నెట్వర్క్ పొర పైన ఉంది: ప్రాక్సీ సెట్టింగ్లు, సర్టిఫికెట్ విశ్వాసం, లేదా యాప్ స్థాయి అనుమతి జాబితా.