Mac VPN, içerik filtresi veya Private Relay: hangisi etkin
Mac'in üç ağ katmanı Ayarlar'da aynı görünür. VPN, içerik filtresi ve Private Relay'i çıkış yolu, akış politikası ve gezinme kapsamıyla ayırt edin.
Mac'inizde aynı anda bir VPN tüneli, bir içerik filtresi ve iCloud Private Relay kurulu olabilir ve hiçbiri belirli bir bağlantıyı hangisinin şekillendirdiğini duyurmaz. Ayar panelleri benzer görünür, simgeler benzer görünür ve neredeyse her satıcı ürününü ağ güvenliği olarak adlandırır. Üç olgu onları ayırır: trafiğin adını koyabildiğiniz uzak bir uç noktadan mı çıktığı, bir politika motorunun tek tek akışlarda izin ver-veya-bırak kararları alıp almadığı ve korumanın Safari'de mi durduğu. Bu üçünü netleştirin, VPN'im-açık-mı sorularının çoğu kendi kendine yanıtlanır.
Bileşeni tanımlayan üç koşul
Birinci koşul çıkıştır. Bir tünel sağlayıcısı paketleri uzak bir ağ geçidine teslim eder, dolayısıyla genel adresiniz değişir ve profil öyle diyorsa o ağ geçidinin arkasındaki makineler erişilebilir olur. Adres hiç değişmiyorsa ve hiçbir özel alt ağ açılmıyorsa, menü çubuğu ne derse desin, çalışan bir tünele bakmıyorsunuz.
İkinci koşul karardır. Bir içerik filtresi akışları değerlendirir ve izin ver ya da bırak döndürür. Kategori engeli, uygulama başına kural veya bir işverenin gönderdiği politika uygulayabilir ve kararı günlüğe yazabilir. Tek başına yapamadığı şey, trafiğe gidecek bir yer vermektir.
Üçüncü koşul kapsamdır. Private Relay tüm aygıtı değil, gezinmenin tanımlı bir dilimini korur ve işi kim olduğunuzu neyi ziyaret ettiğinizden ayırmaktır, sizi başka bir ağa yerleştirmek değil.
Üçünü yan yana koyun, sınırları kaçırmak zordur:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
İçerik filtresi bir politika motorudur, çıkış değil
macOS'ta filtre, Apple'ın filtre veri sağlayıcı sınıfı NEFilterDataProvider üzerine kurulu bir Network Extension olarak gelir. Yönetilen kurulumda MDM onu iter, sistem uzantısı olarak kurulur ve System Settings > General > Login Items and Extensions altında bir kez onaylanır. Ondan sonra TCP akışlarını, bazı yapılandırmalarda UDP'yi de görür ve her biri için bir karar döndürür.
İnsanları şaşırtan şey hata biçimidir. Bir akışı bırakan filtre zaman aşımı, tıkanmış bir TLS el sıkışması veya sıfırlama üretir; bu da tıpkı yükselmiş ama trafiği geçiremeyen bir tünel gibi görünür. Genel adres hiç değişmedi, çünkü onu değiştirecek bir çıkış hiç yoktu.
Ticari istemciler genellikle iki rolü birleştirir. Tek bir kurulum paketi hem tünel sağlayıcısını hem filtreyi getirir, engellemeyi filtre, yönlendirmeyi tünel yapar. Bu yüzden uygulama adı, bağlantıyı hangi bileşenin reddettiğini söylemez. Uzantı listesini, ardından bağlı hizmeti, ardından istemci günlüğünü bu sırayla kontrol edin.
Private Relay Safari'yi kapsar, makineyi değil
Private Relay kapsadığı gezinmeyi ayrı taraflarca işletilen iki aktarıcı üzerinden gönderir; böylece tek bir operatör hem kimliğinizi hem de hedeflerinizi elinde tutmaz. Bu bir gizlilik tasarımıdır, tünel değil: girilecek bir ağ geçidi, özel bir alt ağ ve seçtiğiniz bir ülkede çıkış adresi sabitlemenin bir yolu yoktur.
Kapsamı bilerek dardır: Safari gezinmesini, ona eşlik eden DNS sorguları ve güvensiz HTTP yüklemeleriyle birlikte kapsar. Bir terminal oturumu, e-posta istemcisi, sohbet uygulaması ve oyun başlatıcısı bunun dışında kalır. Terminaldeki bir kontrol hâlâ erişim ağınızın adresini gösterirken Safari bir aktarıcı adresi gösteriyorsa, bu beklenen sonuçtur, bozuk bir kurulum değil.
Kullanılabilirlik koşulludur. iCloud+ planı gerekir, her bölgede sunulmaz ve yönetilen bir ağ aktarıcı erişimini engelleyebilir; o durumda Safari doğrudan bağlantıya döner. Apple'ın Private Relay genel bakışı güncel kapsam için referanstır. Bir VPN profili bağlıysa ve bu trafiği taşıyorsa, aktarıcı onun üzerine yığılmaz; yolu profil belirler.
Kanıtları doğru sırayla okuyun
Hizmet durumuyla başlayın, çünkü en ucuz sinyal odur. scutil --nc list yapılandırılmış VPN hizmetlerini ve her birinin bağlı olup olmadığını yazdırır. Bir profil orada yıllarca hiç bağlanmadan durabilir ve insanlar bunu rutin olarak tünel sayar.
Sonra arayüzlere ve yollara bakın. ifconfig utun arayüzlerini gösterir, ama yalnızca varlıkları pek bir şey kanıtlamaz, çünkü macOS utun'u VPN dışında birçok amaçla kullanır. Önemli olan varsayılan yolun bunlardan birine girip girmediğidir; bunu route -n get default bildirir.
Ad çözümlemesi için scutil --dns sistemin gerçekte kullanacağı çözümleyicileri listeler ve orada bir DNS vekil sunucu sağlayıcısı görünür. dig +short example.com ile dig +short example.com @1.1.1.1 çıktısını karşılaştırmak, yanıt veren çözümleyiciyi araya girilen çözümleyiciden ayırır.
Uzantı etkinliği birleşik günlüğe ulaşır: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Hangi uzantının başladığını ve bir filtrenin önemsediğiniz akış için karar bildirip bildirmediğini arıyorsunuz, ezberlenecek bir satırı değil.
Bir şeyi devre dışı bırakmadan önce belirtiyi daraltın
Önce hatayı sınıflandırın. Çözülemeyen bir ad, hemen reddedilen bir bağlantı ve zaman aşımına kadar asılı kalan bir bağlantı, üç farklı sahibi olan üç farklı gözlemdir. Çözümleme bir çözümleyiciye veya DNS vekiline işaret eder. Anında ret bir filtre kuralına işaret eder. Sessizlik genellikle yönlendirmeye ya da ayakta olan ama iletmeyen bir tünele işaret eder.
Yönetilen bir Mac'te filtrenin kuruma ait olduğunu varsayın. VPN'i test etmek için onu kapatmak, gözlemlemek istediğiniz bileşeni ortadan kaldırır ve MDM onu genellikle bir sonraki kontrolde geri getirir. Bir şeyi değiştirmeden önce yöneticiye politikanın adını sorun ve tüm sistem yerine başarısız olan o belirli uygulamayla test edin.
Bir tuzak daha: VPN'i test etmek için Private Relay'i kapatmak yurt dışı trafik hakkında hiçbir şey söylemez, çünkü aktarıcı o trafiği hiçbir zaman kapsamadı. Her katman, gerçekten yönettiği uygulamada test edilmelidir.
Bu listeyi işleyin ve başarısız olan ilk maddede durun:
scutil --nc listbeklediğiniz hizmeti bağlı olarak gösteriyor mu?- Terminalden görülen genel adres, erişim ağınızın verdiği adresten farklı mı?
- Bir filtre uzantısı kurulu mu ve başarısız akış için bir karar günlüğe yazdı mı?
- Hata yalnızca Safari'de mi? Öyleyse tüneli suçlamadan önce aktarıcının kapsamını kontrol edin.
Dördü de geçerse ve uygulama hâlâ başarısız olursa, sorun ağ katmanının üzerindedir: vekil ayarları, sertifika güveni veya uygulama düzeyinde bir izin listesi.