Mac VPN، مواد فلٹر یا Private Relay: کون سا فعال ہے
Mac کی تین نیٹ ورک تہیں Settings میں ایک جیسی دکھتی ہیں۔ اخراج کا راستہ، فلو پالیسی اور براؤزنگ دائرے سے VPN، مواد فلٹر اور Private Relay کو الگ پہچانیں۔
آپ کے Mac پر ایک ساتھ VPN ٹنل، مواد فلٹر اور iCloud Private Relay نصب ہو سکتے ہیں، اور ان میں سے کوئی نہیں بتاتا کہ کون سا کسی مخصوص کنکشن کو شکل دے رہا ہے۔ سیٹنگز کے پینل ایک جیسے لگتے ہیں، آئیکن ایک جیسے لگتے ہیں، اور تقریباً ہر بیچنے والا اپنی مصنوعات کو نیٹ ورک سیکیورٹی کہتا ہے۔ تین حقائق انہیں الگ کرتے ہیں: کیا ٹریفک کسی دور دراز اینڈ پوائنٹ سے نکلتی ہے جس کا نام آپ بتا سکیں، کیا پالیسی انجن انفرادی فلو پر اجازت-یا-رد کے فیصلے کرتا ہے، اور کیا حفاظت Safari پر رک جاتی ہے۔ یہ تینوں صاف ہو جائیں تو میرا-VPN-چالو-ہے-کیا جیسے بیشتر سوال خود جواب دے دیتے ہیں۔
تین شرطیں جو جزو کی شناخت کرتی ہیں
پہلی شرط اخراج ہے۔ ٹنل فراہم کرنے والا پیکٹ دور دراز گیٹ وے کے حوالے کرتا ہے، اس لیے آپ کا عوامی پتہ بدل جاتا ہے اور، اگر پروفائل ایسا کہے، اس گیٹ وے کے پیچھے کے میزبان قابل رسائی ہو جاتے ہیں۔ اگر پتہ کبھی نہ بدلے اور کوئی نجی ذیلی نیٹ ورک نہ کھلے، تو مینو بار کچھ بھی کہے، آپ کام کرتا ٹنل نہیں دیکھ رہے۔
دوسری شرط فیصلہ ہے۔ مواد فلٹر فلو کا جائزہ لے کر اجازت یا رد واپس دیتا ہے۔ یہ زمرے کی پابندی، فی ایپ قاعدہ یا آجر کا بھیجا ہوا پالیسی نافذ کر سکتا ہے، اور فیصلہ لاگ کر سکتا ہے۔ جو یہ اکیلا نہیں کر سکتا وہ ٹریفک کو جانے کی جگہ دینا ہے۔
تیسری شرط دائرہ ہے۔ Private Relay پورے آلات کے بجائے براؤزنگ کا ایک متعین حصہ محفوظ کرتا ہے، اور اس کا کام یہ الگ کرنا ہے کہ آپ کون ہیں اور کیا دیکھتے ہیں، آپ کو کسی دوسرے نیٹ ورک پر رکھنا نہیں۔
تینوں کو ساتھ رکھیں تو حدود چھوڑنا مشکل ہے:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
مواد فلٹر پالیسی انجن ہے، اخراج نہیں
macOS میں فلٹر Network Extension کے طور پر آتا ہے، جو Apple کے فلٹر ڈیٹا فراہم کنندہ کلاس NEFilterDataProvider پر بنایا گیا ہے۔ منظم تعیناتی میں اسے MDM دھکیلتا ہے، یہ سسٹم ایکسٹینشن کے طور پر نصب ہوتا ہے اور System Settings > General > Login Items and Extensions میں ایک بار منظور ہوتا ہے۔ اس کے بعد یہ TCP فلو، اور بعض کنفیگریشنز میں UDP بھی دیکھتا ہے، اور ہر ایک پر فیصلہ واپس دیتا ہے۔
لوگوں کو الجھن میں ڈالنے والی چیز ناکامی کا طریقہ ہے۔ فلو رد کرنے والا فلٹر وقت کی حد، رکی ہوئی TLS مصافحہ یا ری سیٹ پیدا کرتا ہے، جو بالکل ایسے ٹنل جیسا لگتا ہے جو اٹھ تو گیا مگر ٹریفک نہیں گزار سکتا۔ عوامی پتہ کبھی نہیں بدلا، کیونکہ بدلنے کے لیے کوئی اخراج ہی نہیں تھا۔
تجارتی کلائنٹ اکثر دونوں کردار ساتھ لاتے ہیں۔ ایک ہی انسٹالر ٹنل فراہم کنندہ اور فلٹر لاتا ہے، روکنا فلٹر کرتا ہے اور روٹنگ ٹنل کرتا ہے۔ اس لیے ایپ کا نام آپ کو یہ نہیں بتاتا کہ کس جزو نے کنکشن رد کیا۔ ایکسٹینشن کی فہرست، پھر منسلک سروس، پھر کلائنٹ لاگ، اسی ترتیب سے دیکھیں۔
Private Relay Safari کو ڈھانپتا ہے، پوری مشین کو نہیں
Private Relay جو براؤزنگ ڈھانپتا ہے اسے الگ فریقوں کے چلائے ہوئے دو ریلے کے ذریعے بھیجتا ہے، اس لیے کسی ایک آپریٹر کے پاس آپ کی شناخت اور منزلیں دونوں نہیں ہوتیں۔ یہ رازداری کا ڈیزائن ہے، ٹنل نہیں: داخل ہونے کا کوئی گیٹ وے نہیں، کوئی نجی ذیلی نیٹ ورک نہیں، اور آپ کے چنے ہوئے ملک میں اخراج کا پتہ پن کرنے کا کوئی طریقہ نہیں۔
اس کا دائرہ جان بوجھ کر تنگ ہے: Safari براؤزنگ کے ساتھ اس کے ساتھ آنے والی DNS استفسارات اور غیر محفوظ HTTP لوڈنگ بھی شامل ہیں۔ ٹرمینل سیشن، میل کلائنٹ، چیٹ ایپ اور گیم لانچر اس سے باہر ہیں۔ اگر ٹرمینل میں جانچ اب بھی آپ کے رسائی نیٹ ورک کا پتہ دکھائے جبکہ Safari ریلے کا پتہ دکھائے، تو یہی متوقع نتیجہ ہے، ٹوٹی ہوئی انسٹالیشن نہیں۔
دستیابی شرائط پر منحصر ہے۔ اس کے لیے iCloud+ پلان چاہیے، ہر خطے میں پیش نہیں کیا جاتا، اور منظم نیٹ ورک ریلے تک رسائی روک سکتا ہے، جس صورت میں Safari براہ راست کنکشن پر واپس آ جاتا ہے۔ Apple کا Private Relay جائزہ موجودہ دائرے کا حوالہ ہے۔ جب VPN پروفائل منسلک ہو اور وہی ٹریفک لے جا رہا ہو، تو ریلے اس کے اوپر تہ نہیں ہوتا؛ راستہ پروفائل طے کرتی ہے۔
ثبوت درست ترتیب میں پڑھیں
سروس کی حالت سے شروع کریں، کیونکہ یہ سب سے سستا اشارہ ہے۔ scutil --nc list ترتیب شدہ VPN سروسز اور یہ چھاپتا ہے کہ ہر ایک منسلک ہے یا نہیں۔ کوئی پروفائل کبھی منسلک ہوئے بغیر سالوں وہاں پڑی رہ سکتی ہے، اور لوگ اسے معمول کے مطابق ٹنل گنتے ہیں۔
پھر انٹرفیس اور راستے دیکھیں۔ ifconfig utun انٹرفیس دکھاتا ہے، مگر صرف ان کی موجودگی زیادہ ثابت نہیں کرتی، کیونکہ macOS VPN کے علاوہ کئی مقاصد کے لیے utun استعمال کرتا ہے۔ اہم یہ ہے کہ ڈیفالٹ راستہ ان میں سے کسی میں جاتا ہے یا نہیں، جس کی اطلاع route -n get default دیتا ہے۔
نام حل کرنے کے لیے scutil --dns وہ حل کنندہ گنواتا ہے جو نظام واقعی استعمال کرے گا، اور وہاں DNS پراکسی فراہم کنندہ نظر آتا ہے۔ dig +short example.com کا dig +short example.com @1.1.1.1 سے موازنہ جواب دینے والے حل کنندہ کو روکے جانے والے حل کنندہ سے الگ کرتا ہے۔
ایکسٹینشن کی سرگرمی یکجا لاگ تک پہنچتی ہے: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m۔ آپ ڈھونڈ رہے ہیں کہ کون سی ایکسٹینشن شروع ہوئی اور فلٹر نے آپ کے متعلقہ فلو پر فیصلہ بتایا یا نہیں، یاد کرنے والی سطر نہیں۔
کچھ بند کرنے سے پہلے علامت کو تنگ کریں
پہلے ناکامی کی درجہ بندی کریں۔ جو نام حل نہ ہو، فوراً مسترد شدہ کنکشن، اور وقت کی حد تک لٹکتا کنکشن — یہ تین مختلف مشاہدے ہیں، تین مختلف ذمہ داروں کے ساتھ۔ حل ہونا حل کنندہ یا DNS پراکسی کی طرف اشارہ کرتا ہے۔ فوری رد فلٹر قاعدے کی طرف اشارہ کرتا ہے۔ خاموشی عام طور پر روٹنگ کی طرف، یا ایسے ٹنل کی طرف اشارہ کرتی ہے جو اٹھا ہے مگر آگے نہیں بھیجتا۔
منظم Mac پر فرض کریں کہ فلٹر ادارے کا ہے۔ VPN جانچنے کے لیے اسے بند کرنا وہی جزو ہٹا دیتا ہے جسے آپ دیکھنا چاہتے تھے، اور MDM اگلی جانچ میں اسے اکثر بحال کر دیتا ہے۔ کچھ بدلنے سے پہلے منتظم سے پالیسی کا نام پوچھیں، اور پورے نظام کے بجائے اسی مخصوص ایپ سے جانچیں جو ناکام ہوئی۔
ایک اور جال: VPN جانچنے کے لیے Private Relay بند کرنا غیر ملکی ٹریفک کے بارے میں کچھ نہیں بتاتا، کیونکہ ریلے نے وہ ٹریفک کبھی ڈھانپا ہی نہیں تھا۔ ہر تہہ کو اسی ایپ پر جانچنا ہوگا جس پر وہ واقعی حکمرانی کرتی ہے۔
اس فہرست پر چلیں اور پہلی ناکام شے پر رکیں:
- کیا
scutil --nc listاس سروس کو منسلک دکھاتا ہے جس کی آپ توقع کرتے ہیں؟ - کیا ٹرمینل سے نظر آنے والا عوامی پتہ آپ کے رسائی نیٹ ورک کے دیے گئے پتے سے مختلف ہے؟
- کیا فلٹر ایکسٹینشن نصب ہے، اور کیا اس نے ناکام فلو کے لیے فیصلہ درج کیا؟
- کیا ناکامی صرف Safari میں ہے؟ اگر ہاں، تو ٹنل کو قصوروار ٹھہرانے سے پہلے ریلے کا دائرہ دیکھیں۔
اگر چاروں پاس ہوں اور ایپ پھر بھی ناکام ہو، تو مسئلہ نیٹ ورک تہہ کے اوپر ہے: پراکسی سیٹنگز، سرٹیفکیٹ پر اعتماد، یا ایپ سطح کی اجازت شدہ فہرست۔