准备、设置、中继：使用网络中继保护 App 流量

了解中继如何让你的 App 网络流量更具私密性与安全性，并无需 VPN 的开销。我们将向你展示如何将中继服务器集成到你的 App 中，并探讨企业网络如何使用中继安全访问内部资源。

章节

资源

相关视频

WWDC23

WWDC21

准备好探索 iCloud 专用代理

下载

♪ ♪

Keith Holleman：大家好我是 Keith Holleman 一名来自 Apple 的 Internet Technologies 团队成员今天我将谈谈如何通过网络中继提升 App 的隐私性与安全性首先我们来了解一下网络中继这项技术 Apple 在许多隐私功能中都使用了中继这项技术效果出众并且简单易用因此深得我们的喜爱目前你可以通过两种方式在 App 中使用中继第一种你可以在 App 中配置中继来保护 App 的网络流量第二种你可以将中继扩展至设备级别并将其作为访问企业私有资源的 VPN 替代方案接下来让我们深入探讨这项技术中继是许多强大功能的基础例如 iCloud Private Relay、邮件隐私保护以及 Safari 浏览器中躲避追踪器的 IP 地址隐藏如果你的 App 还需要处理用户希望保密的隐私信息并确保自己的服务器无法将其与客户端的 IP 地址进行关联那么你便可在 App 中选择并使用中继从而为所有用户提供强有力的隐私保护

中继是一种特殊类型的代理并在性能方面得到了优化它使用最新的传输和安全协议并原生构建于 Apple 平台的现代网络堆栈中 IETF 定义了两种用于中继的标准协议： MASQUE 和 Oblivious HTTP MASQUE 中继可以有效提升 App 及私有资源访问的隐私性通过这一中继你可以发送任意 TCP 和 UDP 连接而无需对后端服务器进行修改你也可以将中继服务器进行链接从而任何实体都无法将 IP 地址和浏览活动关联记录到详细的用户配置文件中并且这也是 iCloud Private Relay 背后的基础技术此外该中继也是访问企业资源的有效途径它不仅可以提供更好的用户体验、更优越的性能且比管理 VPN 更加轻松便捷与传统代理协议不同 MASQUE 中继使用 TLS 1.3 将所有流量导向代理 MASQUE 使用最新传输协议 QUIC 和 HTTP/3 实现高效代理及单一隧道内多连接的多路复用但是 QUIC 一旦受到网络的阻止该中继便会回退到使用 HTTP/2 如果你希望 App 发送的请求保持私密并与其他请求不存在关联例如匿名指标报告、数据库查找及 DNS 查询你还可以使用 Oblivious HTTP 借助 Oblivious HTTP 你只需要经过单个中继跳跃便可享受出色的性能和隐私性与 MASQUE 中继不同 Oblivious HTTP 无法与任意服务器一起使用因此你的服务器需要明确支持该协议才可正常使用想要进一步了解有关 Oblivious HTTP 的信息欢迎观看“隐私新增功能”讲座由于这两种中继都可以对 App 建立的连接进行代理因此你可以选择并使用特定的中继服务器来提升 App 的隐私性全新的 ProxyConfiguration 类允许在网络框架 URLSession 和 WebKit 中定义中继这三种 API 加载公共类的方式类似并且允许为整个 App 或特定连接定义中继在 ProxyConfiguration 对象中你可以根据 5 种协议定义代理也可以在此为 MASQUE 和 Oblivious HTTP 指定新的中继类型同时该对象也可用于配置传统代理类型如果你此前使用字典配置 URLSession 或 WebKit 的代理那么现在便是你改用这个新对象的绝佳时机对于传统代理类型你可以在配置 HTTP CONNECT 时添加对 TLS 和 SOCKSv5 的支持这里展示的是如何定义 ProxyConfiguration 以实现通过 HTTP/3 与 MASQUE 中继建立连接首先使用 NWEndpoint 指定服务器名称或 URL 并利用其对中继跳跃进行定义在这些中继跳跃中你可以指定支持 HTTP/3、HTTP/2 或以上两者 HTTP/2 服务器可作为备份防止使用 QUIC 协议访问 HTTP/3 时出现被网络阻止的情况接着将中继传递给 “relayHops” 数组参数创建代理配置如果你希望定义一个多跳中继配置那么你可以在此传递 2 个中继为了实现 ProxyConfiguration 与网络框架内 NWConnection 通信你可以创建 PrivacyContext 或使用默认上下文并将代理配置添加到该上下文中接着设置 NWParameters 上下文在连接创建并启动后传入这些参数现在这个连接就可以通过代理发送所有的流量了

你还可以在 URLSession 中直接使用此前定义的代理配置你只需要将配置添加到 URLSessionConfiguration 的 proxyConfigurations 数组中并照常在 URLSession 中运行任务接着它们也开始使用代理发送流量此外该代理配置对象也可用于代理 WebKit 视图中建立的连接首先初始化 Web 视图配置添加数据存储将代理配置添加到数据存储中接着使用该配置初始化 Web 视图完成后加载所请求的 URL 并照常使用 WebKit 视图现在这个 Webkit 视图也实现了通过中继发送流量

除了为 App 添加中继在 iOS 17 中你还可以为整个设备配置中继这不仅可以让你构建隐私功能同时还可让你充分使用中继以提供对私有企业网络资源的访问

当前你可能正在使用 VPN 提供对企业资源的访问但作为 VPN 的替代方案中继不仅可以提供更好的用户体验管理起来也更加轻松便捷由于网络中继无需复杂的会话协商并且在实际用户数据传输前需要的往返次数更少因此用户能够以最快的响应速度实现对私有资源的首次加载此外中继还可避免使用与 VPN 关联的隧道、虚拟接口及额外 IP 地址由于多个中继可以同时配置因此你可以轻松实现不同网络中私有域的访问如果企业公司希望使用中继服务器作为 VPN 的替代方案那么现在便可选择将其与基础架构结合使用如今 Cisco 已经开始将企业中继服务作为 Cisco Secure Edge 产品的一部分我们很高兴看到企业采用这种选择为其用户提供远程访问

在设备上安装 MASQUE 中继配置存在两种方式：企业组织可以通过移动设备管理即 MDM 推送配置从而使用新的中继有效负载类型对中继进行定义这些负载可以应用于托管 App、域以及整个设备其次你也可以编写使用 NERelayManager API 定义中继的 App 这些配置可应用于特定域或是整个设备以上两种方法均适用于 macOS、iOS iPadOS 和 tvOS 并且 tvOS 现已增加了 Network Extension 支持 tvOS 17 也已增加了 VPN 支持

这里展示的是如何使用配置文件对中继进行配置和 App 中的 ProxyConfiguration API 一样你可以对中继 URL 进行定义接着就像在 VPN 配置文件中一样你可以在相同文件中引用证书负载从而利用客户端证书对企业服务器进行身份验证最后将特定域添加至有效负载的 MatchDomains 中你便可以实现中继在其中的应用接下来我们来了解一下如何在 App 中通过编程使用 NERelayManager API 为设备添加中继为了定义中继你需要初始化 NERelay 对象然后对中继的 URL 进行配置在此我使用的是同一个中继来处理 HTTP/2 和 HTTP/3 的请求如果你的中继需要额外的 HTTP 标头将其添加到 NERelay 对象中即可此外你还需要访问共享的 NERelayManager 对象因为这里存储了你刚刚创建的 NERelay 对象如果你只希望将中继应用到特定域而非整个设备将其添加到 matchDomains 数组中即可最后一步你需确认中继已经启用并已将 NERelayManager 对象安装到系统偏好设置中现在让我们来看看中继的实际应用我非常喜欢山地自行车所以甚至还开了一家自行车商店我的商店包含一家线上商店以及一个用于追踪订单的内部网站这个网站位于我的内部网络上只有员工才可以使用当我打开 Safari 浏览器查看未结订单此时我无法进行查看因为我不在内部网络上但如果我安装了中继配置我就可以从任何地方访问内部网络现在我打开由示范代码编写的中继示例 App 对整个设备进行配置使其在访问内部域期间可以使用商店中继我们可以在设置中看到配置信息并在访问 internal.example.com 时看到本设备正在使用中继现在我再返回 Safari 浏览器查看未结订单就可以看到未结订单以及需要发货的订单数量整个过程就是这么的简单快捷并在首次加载时响应迅速中继是现代化的、基于标准的代理它可以在不影响 App 性能的情况下提升其安全性和隐私性你可以在 App 中直接使用 MASQUE 中继及 Oblivious HTTP 中继以提升用户的隐私性企业则可以出于更轻松的管理以及更无缝的用户体验逐步使用中继取代 VPN 感谢你抽出宝贵时间观看这部影片非常期待看到你的中继使用

4:52 - Configuring a relay

import Network

let relayEndpoint = NWEndpoint.url(URL(string: "https://relay.example.com")!)
let relayServer = ProxyConfiguration.RelayHop(http3RelayEndpoint: relayEndpoint)

let relayConfig = ProxyConfiguration(relayHops: [relayServer])

5:40 - Configuring a relay in Network framework

import Network

let relayEndpoint = NWEndpoint.url(URL(string: "https://relay.example.com")!)
let relayServer = ProxyConfiguration.RelayHop(http3RelayEndpoint: relayEndpoint)

let relayConfig = ProxyConfiguration(relayHops: [relayServer])

var context = NWParameters.PrivacyContext(description: "my relay")
context.proxyConfigurations = [relayConfig]

let parameters = NWParameters.tls
parameters.setPrivacyContext(context)

let connection = NWConnection(host: "www.example.com", port: 443, using: parameters)
connection.start(queue: .main)

6:07 - Configuring a relay in URLSession

import Network

let relayEndpoint = NWEndpoint.url(URL(string: "https://relay.example.com")!)
let relayServer = ProxyConfiguration.RelayHop(http3RelayEndpoint: relayEndpoint)

let relayConfig = ProxyConfiguration(relayHops: [relayServer])

let config = URLSessionConfiguration.default
config.proxyConfigurations = [relayConfig]

let mySession = URLSession(configuration: config)
let url = URL(string: "https://www.example.com/api/v1/employees")!
let (data, response) = try await mySession.data(from: url)

6:30 - Configuring a relay in WebKit

import Network

let relayEndpoint = NWEndpoint.url(URL(string: "https://relay.example.com")!)
let relayServer = ProxyConfiguration.RelayHop(http3RelayEndpoint: relayEndpoint)

let relayConfig = ProxyConfiguration(relayHops: [relayServer])

let webkitConfig = WKWebViewConfiguration()
webkitConfig.websiteDataStore = WKWebsiteDataStore.nonPersistent()
webkitConfig.websiteDataStore.proxyConfigurations = [relayConfig]
let webView = WKWebView(frame: .zero, configuration: webkitConfig)

let url = URL(string: "https://www.example.com/api/v1/employees")!
webView.load(URLRequest(url: url))

9:15 - Configuring a relay on the device with a configuration profile

<dict>
    <key>PayloadType</key>
    <string>com.apple.relay.managed</string>
    <key>Relays</key>
    <array>
        <dict>
            <key>HTTP3RelayURL</key>
            <string>https://relay.example.com</string>
            <key>PayloadCertificateUUID</key>
            <string>5AB702EC-32F3-48A9-94FE-8EA1C67ACF46</string>
        </dict>
    </array>
    <key>MatchDomains</key>
    <array>
        <string>internal.example.com</string>
    </array>
</dict>

9:42 - Configuring a relay on the device with NetworkExtension

import NetworkExtension

let newRelay = NERelay()
let relayURL = URL(string: "https://relay.example.com:443/")
newRelay.http3RelayURL = relayURL
newRelay.http2RelayURL = relayURL

newRelay.additionalHTTPHeaderFields = ["Authorization" : "PrivateToken=123"]

let manager = NERelayManager.shared()
manager.relays = [newRelay]
manager.matchDomains = ["internal.example.com"]

manager.isEnabled = true
do {
    try await manager.saveToPreferences()
} catch let saveError {
    // Handle error
}

正在查找特定内容？在上方输入一个主题，就能直接跳转到相应的精彩内容。