Mac VPN, kontent filtri yoki Private Relay: qaysi biri faol
Mac'ning uchta tarmoq qatlami Sozlamalarda bir xil ko'rinadi. Chiqish yo'li, oqim siyosati va ko'rish doirasi bilan VPN, kontent filtri va Private Relay'ni ajratib oling.
Mac'ingizda bir vaqtda VPN tunneli, kontent filtri va iCloud Private Relay o'rnatilgan bo'lishi mumkin va ularning hech biri qaysi biri muayyan ulanishni shakllantirayotganini e'lon qilmaydi. Sozlamalar panellari bir xil ko'rinadi, belgilar bir xil ko'rinadi va deyarli har bir sotuvchi o'z mahsulotini tarmoq xavfsizligi deb ataydi. Uchta fakt ularni ajratadi: trafik siz nomlay oladigan uzoq so'nggi nuqta orqali chiqadimi, siyosat dvigateli alohida oqimlar bo'yicha ruxsat-yoki-rad qarorlarini qabul qiladimi va himoya Safari'da to'xtaydimi. Shu uchtasini tartibga solsangiz, VPN'im-yoniqmi kabi savollarning aksariyati o'z-o'zidan javob topadi.
Komponentni taniydigan uchta shart
Birinchi shart — chiqish. Tunnel provayderi paketlarni uzoq shlyuzga topshiradi, shuning uchun ommaviy manzilingiz o'zgaradi va, profil shunday desa, o'sha shlyuz ortidagi xostlar yetib boriladigan bo'ladi. Manzil hech qachon o'zgarmasa va hech qanday xususiy quyi tarmoq ochilmasa, menyu satri nima desa ham, siz ishlayotgan tunnelni ko'rmayapsiz.
Ikkinchi shart — qaror. Kontent filtri oqimlarni baholaydi va ruxsat yoki rad qaytaradi. U toifa bloklanishini, har bir ilova uchun qoidani yoki ish beruvchi yuborgan siyosatni qo'llashi va hukmni jurnalga yozishi mumkin. O'zi qila olmaydigan narsa — trafikka boradigan joy berish.
Uchinchi shart — doira. Private Relay butun qurilmani emas, ko'rishning belgilangan qismini himoya qiladi va uning vazifasi siz kimligingizni nima ko'rishingizdan ajratish, sizni boshqa tarmoqqa joylashtirish emas.
Uchtasini yonma-yon qo'ying, chegaralarni o'tkazib yuborish qiyin:
| Layer | Question it answers | Evidence to look for | What it does not do |
|---|---|---|---|
| VPN tunnel provider | Where does my traffic emerge, and which private networks can I reach? | Changed public address, a connected service, a default route through a utun interface | Enforce per-app content policy |
| Content filter | May this flow proceed, and who decided? | A filter extension in Network Extensions, drop verdicts, an MDM profile | Supply a different public exit |
| iCloud Private Relay | Can the local network see which sites Safari loads? | A relay egress address in Safari only, the relay toggle in iCloud settings | Cover other apps or grant access to a private subnet |
Kontent filtri siyosat dvigateli, chiqish emas
macOS'da filtr Apple'ning filtr ma'lumotlari provayderi sinfi NEFilterDataProvider asosida qurilgan Network Extension sifatida keladi. Boshqariladigan joylashtirishda uni MDM itaradi, tizim kengaytmasi sifatida o'rnatiladi va System Settings > General > Login Items and Extensions bo'limida bir marta tasdiqlanadi. Shundan keyin u TCP oqimlarini, ba'zi konfiguratsiyalarda UDP'ni ham ko'radi va har biriga hukm qaytaradi.
Odamlarni chalkashtiradigan narsa — nosozlik usuli. Oqimni rad etuvchi filtr vaqt tugashi, tiqilib qolgan TLS qo'l berib ko'rishish yoki qayta o'rnatish hosil qiladi, bu esa ko'tarilgan, lekin trafikni o'tkaza olmaydigan tunnelga aynan o'xshaydi. Ommaviy manzil hech qachon o'zgarmadi, chunki uni o'zgartiradigan chiqish yo'q edi.
Tijoriy mijozlar ko'pincha ikkala rolni birlashtiradi. Bitta o'rnatuvchi tunnel provayderini va filtrni olib keladi, bloklashni filtr, marshrutlashni tunnel bajaradi. Shuning uchun ilova nomi ulanishni qaysi komponent rad etganini aytmaydi. Kengaytmalar ro'yxati, keyin ulangan xizmat, keyin mijoz jurnali — shu tartibda tekshiring.
Private Relay Safari'ni qamraydi, butun mashinani emas
Private Relay qamraydigan ko'rishni alohida tomonlar boshqaradigan ikki rele orqali yuboradi, shuning uchun hech bir yagona operator sizning shaxsingizni ham, manzillaringizni ham birga ushlab turmaydi. Bu maxfiylik dizayni, tunnel emas: kirish uchun shlyuz yo'q, xususiy quyi tarmoq yo'q va siz tanlagan mamlakatda chiqish manzilini qadab qo'yishning yo'li yo'q.
Uning doirasi ataylab tor: Safari ko'rishini u bilan birga keladigan DNS so'rovlari va xavfsiz bo'lmagan HTTP yuklamalari bilan qamraydi. Terminal sessiyasi, pochta mijozi, chat ilovasi va o'yin ishga tushirgichi undan tashqarida. Agar Terminaldagi tekshiruv hali ham kirish tarmog'ingiz manzilini ko'rsatsa, Safari esa rele manzilini ko'rsatsa, bu kutilgan natija, buzilgan o'rnatish emas.
Mavjudlik shartli. Unga iCloud+ rejasi kerak, u har bir mintaqada taklif etilmaydi va boshqariladigan tarmoq relega kirishni bloklashi mumkin, unda Safari to'g'ridan-to'g'ri ulanishga qaytadi. Apple'ning Private Relay sharhi joriy doira uchun manba. VPN profili ulangan bo'lsa va o'sha trafikni tashisa, rele uning ustiga qatlamlanmaydi; yo'lni profil belgilaydi.
Dalillarni to'g'ri tartibda o'qing
Xizmat holatidan boshlang, chunki bu eng arzon signal. scutil --nc list sozlangan VPN xizmatlarini va har biri ulangan yoki yo'qligini chop etadi. Profil u yerda hech qachon ulanmasdan yillar yotishi mumkin va odamlar buni odatda tunnel deb hisoblashadi.
Keyin interfeyslar va marshrutlarga qarang. ifconfig utun interfeyslarini ko'rsatadi, lekin ularning mavjudligi o'zi ko'p narsani isbotlamaydi, chunki macOS utun'ni VPN'dan tashqari bir necha maqsadda ishlatadi. Muhimi — standart marshrut ulardan biriga kiradimi, buni route -n get default xabar qiladi.
Nomlarni hal qilish uchun scutil --dns tizim haqiqatan ishlatadigan hal qiluvchilarni sanaydi va u yerda DNS proksi provayderi ko'rinadi. dig +short example.com ni dig +short example.com @1.1.1.1 bilan solishtirish javob berayotgan hal qiluvchini ushlanayotgan hal qiluvchidan ajratadi.
Kengaytmalar faoliyati birlashgan jurnalga yetadi: log show --predicate 'subsystem == "com.apple.networkextension"' --last 5m. Siz qaysi kengaytma boshlanganini va filtr sizga muhim oqim bo'yicha hukm xabar qilganini qidiryapsiz, yodlash kerak bo'lgan satrni emas.
Biror narsani o'chirishdan oldin simptomni toraytiring
Avval nosozlikni tasniflang. Hal bo'lmaydigan nom, darhol rad etilgan ulanish va vaqt tugashigacha osilib turgan ulanish — bular uch xil kuzatuv, uch xil mas'ul bilan. Hal qilish hal qiluvchi yoki DNS proksiga ishora qiladi. Darhol rad etish filtr qoidasiga ishora qiladi. Sukunat odatda marshrutlashga yoki ko'tarilgan, lekin uzatmayotgan tunnelga ishora qiladi.
Boshqariladigan Mac'da filtr tashkilotga tegishli deb hisoblang. VPN'ni sinash uchun uni o'chirish siz kuzatmoqchi bo'lgan komponentning o'zini olib tashlaydi va MDM uni keyingi tekshiruvda ko'pincha tiklaydi. Biror narsani o'zgartirishdan oldin administratoridan siyosat nomini so'rang va butun tizim bilan emas, muvaffaqiyatsiz bo'lgan aniq ilova bilan sinab ko'ring.
Yana bir tuzoq: VPN'ni sinash uchun Private Relay'ni o'chirish xorijiy trafik haqida hech narsa demaydi, chunki rele bu trafikni hech qachon qamramagan. Har bir qatlamni u haqiqatan boshqaradigan ilovada sinash kerak.
Bu ro'yxatdan o'ting va birinchi muvaffaqiyatsiz bandda to'xtang:
scutil --nc listsiz kutgan xizmatni ulangan deb ko'rsatadimi?- Terminaldan ko'rinadigan ommaviy manzil kirish tarmog'ingiz bergan manzildan farq qiladimi?
- Filtr kengaytmasi o'rnatilganmi va muvaffaqiyatsiz oqim bo'yicha hukm yozganmi?
- Nosozlik faqat Safari'dami? Shunday bo'lsa, tunnelni ayblashdan oldin rele doirasini tekshiring.
Agar to'rttasi ham o'tsa va ilova baribir ishlamasa, muammo tarmoq qatlamidan yuqorida: proksi sozlamalari, sertifikatga ishonch yoki ilova darajasidagi ruxsat ro'yxati.