VPN на Mac, фільтр вмісту чи Private Relay: що активне
Три мережеві шари Mac виглядають у Налаштуваннях однаково. Розрізняйте VPN, фільтр вмісту й Private Relay за шляхом виходу, політикою потоків і охопленням перегляду.
На вашому Mac можуть одночасно бути встановлені тунель VPN, фільтр вмісту та iCloud Private Relay, і жоден із них не повідомляє, який саме формує конкретне з'єднання. Панелі налаштувань виглядають схоже, значки виглядають схоже, і майже кожен постачальник називає свій продукт мережевою безпекою. Три факти розрізняють їх: чи виходить трафік через віддалену кінцеву точку, яку ви можете назвати, чи ухвалює машина політик рішення дозволити-або-відкинути щодо окремих потоків і чи закінчується захист на Safari. Розберіться з цими трьома, і більшість питань чи-ввімкнено-мій-VPN відповідають самі.
Три умови, за якими розпізнається компонент
Перша умова — вихід. Постачальник тунелю передає пакети віддаленому шлюзу, тому ваша публічна адреса змінюється і, якщо профіль так вказує, хости за цим шлюзом стають доступними. Якщо адреса ніколи не змінюється і жодна приватна підмережа не відкривається, ви дивитеся не на робочий тунель, хоч би що стверджував рядок меню.
Друга умова — рішення. Фільтр вмісту оцінює потоки й повертає дозволити або відкинути. Він може застосовувати блокування категорії, правило для окремого застосунку або політику, надіслану роботодавцем, і може записувати вердикт. Чого він не може сам — дати трафіку місце, куди йти.
Третя умова — охоплення. Private Relay захищає визначений зріз перегляду, а не весь пристрій, і його завдання — відокремити те, хто ви, від того, що ви відвідуєте, а не помістити вас в іншу мережу.
Поставте їх поруч, і межі важко проґавити:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Фільтр вмісту — це машина політик, а не вихід
У macOS фільтр надходить як Network Extension, побудоване на класі постачальника даних фільтрації Apple NEFilterDataProvider. У керованому розгортанні його проштовхує MDM, він встановлюється як системне розширення і один раз схвалюється в System Settings > General > Login Items and Extensions. Відтоді він бачить потоки TCP, а в деяких конфігураціях і UDP, і повертає вердикт щодо кожного.
Плутанину створює саме режим відмови. Фільтр, що відкидає потік, дає тайм-аут, застрягле рукостискання TLS або скидання, і це виглядає точно як тунель, що піднявся, але не пропускає трафік. Публічна адреса не змінювалася, бо змінювати її не було чим.
Комерційні клієнти часто об'єднують обидві ролі. Один інсталятор приносить і постачальника тунелю, і фільтр: фільтр блокує, а тунель маршрутизує. Тому назва застосунку нічого не каже про те, який компонент відхилив з'єднання. Перегляньте список розширень, потім підключену службу, потім журнал клієнта — саме в цьому порядку.
Private Relay охоплює Safari, а не всю машину
Private Relay надсилає охоплений перегляд через два реле, якими керують різні сторони, тож жоден оператор не тримає одночасно і вашу особу, і ваші адресати. Це проєкт приватності, а не тунель: немає шлюзу, у який можна ввійти, немає приватної підмережі й немає способу закріпити адресу виходу в обраній вами країні.
Його охоплення навмисно вузьке: він покриває перегляд у Safari разом із DNS-запитами та небезпечними HTTP-завантаженнями, що до нього додаються. Сеанс термінала, поштовий клієнт, застосунок чату й ігровий лаунчер залишаються ззовні. Якщо перевірка в терміналі досі показує адресу вашої мережі доступу, а Safari показує адресу реле, це очікуваний результат, а не зламане встановлення.
Доступність умовна. Потрібен план iCloud+, він пропонується не в усіх регіонах, а керована мережа може блокувати доступ до реле, і тоді Safari повертається до прямого з'єднання. Огляд Private Relay від Apple — орієнтир для поточного охоплення. Коли профіль VPN підключений і несе цей трафік, реле не надбудовується зверху; шлях визначає профіль.
Читайте докази в правильному порядку
Почніть зі стану служби, бо це найдешевший сигнал. scutil --nc list друкує налаштовані служби VPN і те, чи кожна підключена. Профіль може лежати там роками, жодного разу не підключившись, і люди зазвичай вважають це тунелем.
Далі подивіться на інтерфейси й маршрути. ifconfig показує інтерфейси utun, але сама їхня присутність доводить небагато, оскільки macOS використовує utun і для інших цілей, крім VPN. Важливо, чи веде маршрут за замовчуванням в один із них, про що повідомляє route -n get default.
Для розв'язання імен scutil --dns перелічує розв'язувачі, які система справді використає, і там з'являється постачальник DNS-проксі. Порівняння dig +short example.com з dig +short example.com @1.1.1.1 відокремлює розв'язувач, що відповідає, від того, що його перехоплюють.
Активність розширень потрапляє в об'єднаний журнал: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Ви шукаєте, яке розширення запустилося і чи повідомив фільтр вердикт щодо потрібного вам потоку, а не рядок для заучування.
Звужте симптом, перш ніж щось вимикати
Спершу класифікуйте відмову. Ім'я, яке не розв'язується, з'єднання, яке відхиляють одразу, і з'єднання, що висить до тайм-ауту, — три різні спостереження з трьома різними відповідальними. Розв'язання вказує на розв'язувач або DNS-проксі. Негайна відмова вказує на правило фільтра. Тиша зазвичай вказує на маршрутизацію або на тунель, який піднято, але який не передає.
На керованому Mac виходьте з того, що фільтр належить організації. Вимкнення його заради перевірки VPN прибирає саме той компонент, який ви хотіли спостерігати, і MDM часто повертає його під час наступної перевірки. Запитайте в адміністратора назву політики, перш ніж щось змінювати, і перевіряйте тим конкретним застосунком, який дав збій, а не всією системою.
Ще одна пастка: вимкнення Private Relay заради перевірки VPN нічого не каже про закордонний трафік, бо реле ніколи його не покривало. Кожен шар треба перевіряти в застосунку, яким він справді керує.
Пройдіть цей список і зупиніться на першому пункті, який не пройде:
- Чи показує
scutil --nc listочікувану службу як підключену? - Чи відрізняється публічна адреса, видима з термінала, від адреси, виданої вашою мережею доступу?
- Чи встановлено розширення фільтра і чи записало воно вердикт щодо збійного потоку?
- Чи збій лише в Safari? Якщо так, перевірте охоплення реле, перш ніж звинувачувати тунель.
Якщо всі чотири пройдено, а застосунок усе одно не працює, проблема вище мережевого шару: налаштування проксі, довіра до сертифіката або список дозволених на рівні застосунку.