iCloud Private Relay пускает трафик через два узла, чтобы никто не видел сразу и вас, и ваши сайты. Что он покрывает и что сайты всё равно видят.
iCloud Private Relay (в русской локализации Apple — «Частный узел iCloud») — функция приватности Apple для подписчиков iCloud+: она пропускает трафик Safari через два отдельных узла, так что ни Apple, ни второй оператор не видят одновременно вашу личность и посещаемые сайты. Это не VPN: она охватывает лишь часть трафика, намеренно сохраняет ваше примерное местоположение и не меняет отпечаток браузера. В руководстве разбираем, что она скрывает, почему сайт может показать вас не в том городе и как сайты её распознают.
Ключевые выводы
- Private Relay использует два узла: входной узел Apple видит ваш настоящий IP, но не пункт назначения, а выходной узел партнёра видит пункт назначения, но не ваш IP.
- Охват — просмотр в Safari, DNS-запросы и часть незашифрованного трафика приложений, а не всё устройство, как у VPN, и не другие браузеры вроде Chrome или Firefox.
- Сайты видят выходной IP из опубликованного диапазона релея: его можно опознать как релей, но нельзя привязать к вам. Местоположение намеренно грубое, поэтому вас могут показать не в том городе.
- Она не меняет отпечаток браузера и может срабатывать на проверки VPN/прокси, которые помечают диапазоны релеев.
- Чтобы увидеть, что видит сайт, проверьте выходной IP, ASN и местоположение в инструменте IP-аналитики, а затем узнайте, выглядит ли он как прокси, в проверке VPN/прокси.
Как два узла делят доверие
В обычном соединении сайт видит ваш IP, а провайдер — запрошенный вами сайт. VPN с одним оператором просто передаёт все эти сведения одной компании. Private Relay их разделяет:
- Входной узел (Apple). Устройство отправляет запрос на релей Apple. Apple знает ваш настоящий IP, но видит лишь зашифрованный запрос, который не может прочитать, и не узнаёт, какой сайт вам нужен.
- Выходной узел (партнёр). Второй релей, который держит партнёр, например Cloudflare, расшифровывает адрес назначения и пересылает запрос. Он назначает исходящий IP, поэтому знает, куда идёт запрос, но отправителем видит лишь релей Apple.
Эту схему с разделённым доверием мы кратко описали в сравнении инструментов приватности, а статья самого Cloudflare — iCloud Private Relay: What Cloudflare Customers Need to Know — описывает выходную сторону глазами партнёра. Chrome пробовал похожую двухузловую схему; как она соотносится и почему её закрыли, см. в Chrome IP Protection.
Уровень протокола: MASQUE
Для тех, кому интересна техника: туннели Private Relay используют подход, стандартизированный рабочей группой IETF MASQUE, — перенос другого трафика внутри прокси-соединений HTTP. RFC 9298 описывает проксирование UDP через HTTP, а родственный RFC 9484 распространяет ту же идею на целые IP-пакеты. Для пользователя важно одно: узлы релея работают поверх обычных соединений HTTP/3 (QUIC), которые для промежуточной сети неотличимы от веб-трафика. Чтобы пользоваться функцией, знать это не нужно, но это объясняет, почему Private Relay построен на открытых стандартах, а не на закрытом VPN-протоколе.
Что покрывает Private Relay, а что нет
| Трафик | Защищён Private Relay? |
|---|---|
| Просмотр в Safari (HTTP и HTTPS) | Да |
| DNS-запросы через системный резолвер | Да |
| Часть незашифрованного трафика приложений | Да |
| Chrome, Firefox и другие браузеры | Нет |
| Большинство других приложений и системных служб | Нет |
| Отпечаток браузера | Не меняется |
| Тайминг и объём трафика | Не скрываются |
Отсюда два следствия. Во-первых, сайт в Chrome видит ваш настоящий IP, даже когда Safari идёт через релей. Во-вторых, всё, что опознаёт вас без IP — cookie, вход в аккаунт, отпечатки canvas или шрифтов, — работает как прежде. Если вас волнует DNS, в руководстве по защите от утечек DNS разобрано, как запросы утекают при других средствах.
Почему сайт показывает не то местоположение
В Private Relay есть настройка местоположения: сохранять общее местоположение (ваш примерный регион, чтобы локальный контент работал) или использовать только страну и часовой пояс (шире и приватнее). В обоих случаях выходной IP берётся из пула, закреплённого за регионом, а не из вашего реального адреса, поэтому геобазы помещают вас в центр этого региона — часто в ближайший город, иногда не в тот.
Это не ошибка сайта или устройства, а штатная работа функции. Как базы переводят IP в город и почему эти оценки «плавают», описано в материале о точности IP-геолокации, здесь мы это не повторяем. Если магазин показывает цены не для вашего региона, а виджет погоды называет чужой город, сначала проверьте, включён ли Private Relay в настройках Apple ID, и только потом ищите неисправность.
Как сайты распознают Private Relay
Apple публикует список диапазонов выходных IP, поэтому любой сайт может сверить с ним адрес посетителя. В итоге соединение опознаётся как релей, но не привязывается к вам: сайт узнаёт «этот посетитель использует iCloud Private Relay», но не то, кто это. Многие сайты считают это безвредным, некоторые обращаются с ним как с любым прокси.
Поскольку диапазоны известны, сигналы выглядят так:
- Репутация IP и ASN. Адрес принадлежит сети партнёра, а не домашнему провайдеру. Инструмент IP-аналитики показывает ASN и тип, которые увидит сайт.
- Проверки согласованности. Если часовой пояс и язык указывают на одну страну, а выходной IP — на другую, антифрод-системы могут повысить оценку риска. Private Relay спроектирован так, чтобы этого избежать: при обеих настройках местоположения выходной IP остаётся в вашей реальной стране и часовом поясе — в этом его ключевое отличие от VPN с выходом в другой стране.
- Метки прокси. Некоторые детекторы VPN и прокси заносят диапазоны релеев в списки и показывают проверку или блокируют их, хотя пользователь ничего не нарушал. Как возникают такие ложные срабатывания и что делать, см. в статье почему обычных пользователей принимают за VPN.
Чего Private Relay не делает
Название легко понять слишком широко. Вот чего Private Relay не делает:
- Не меняет отпечаток браузера. User-Agent, экран, шрифты, вывод canvas и WebGL по-прежнему отправляются. Отпечаток узнаёт вас между сайтами независимо от IP; наше сравнение VPN и отпечатков объясняет, почему скрытие IP и защита от слежки — разные задачи.
- Не охватывает другие браузеры и всё устройство. Через релей идёт только трафик, который обрабатывает функция.
- Не позволяет выбрать страну выхода. Выбрать, где вы «появитесь», нельзя, так что для каталогов стриминга и обхода региональных блокировок она не годится.
- Не скрывает сам факт использования релея. Диапазоны публичны — это часть замысла.
Почему Private Relay может незаметно не работать
Если вы ожидали увидеть IP релея, а видите IP домашнего провайдера, значит, для этого соединения функция, скорее всего, не действует. Частые причины:
- Нет подписки iCloud+. Private Relay входит в платный тариф iCloud+, а не в бесплатный iCloud.
- Функция недоступна в вашем регионе. Apple не предоставляет Private Relay в ряде стран и регионов, в том числе в материковом Китае.
- Отключена для этой сети. На iPhone и iPad её можно выключить для отдельной сети Wi-Fi или сотовой сети, а некоторые школьные, корпоративные и публичные сети блокируют её сами; тогда устройство подключается напрямую и обычно показывает уведомление в настройках сети.
- Это не Safari. Проверка в Chrome или Firefox всегда покажет ваш настоящий IP.
Быстрее всего убедиться так: откройте инструмент IP-аналитики в Safari, запишите IP и ASN, затем отключите Private Relay и повторите проверку.
Private Relay, VPN и подход Chrome
VPN пропускает всё соединение через одного оператора, которому нужно доверять, позволяет выбирать местоположение, но и попадает в чёрные списки IP дата-центров. Private Relay жертвует этой гибкостью ради разделённого доверия и нулевой настройки. Закрытая функция Chrome IP Protection была ещё уже: только список доменов трекеров и только в режиме инкогнито. Как выбирать между всеми этими вариантами, см. в сравнении инструментов приватности.
Часто задаваемые вопросы
Скрывает ли iCloud Private Relay мой IP-адрес?
От сайтов, которые вы открываете в Safari, — да: они видят выходной IP релея, а не ваш. Провайдер по-прежнему видит, что вы подключаетесь к релею Apple, а трафик вне Safari не покрывается.
iCloud Private Relay — это то же самое, что VPN?
Нет. VPN отправляет весь трафик устройства через одного провайдера и позволяет выбрать местоположение. Private Relay делит доверие между двумя операторами, в основном покрывает Safari и DNS и не даёт выбрать страну.
Почему iCloud Private Relay показывает не то местоположение?
Он намеренно назначает выходной IP из регионального пула или сохраняет только вашу страну и часовой пояс. Геобазы помещают вас в этот регион, и он может оказаться не вашим городом.
Могут ли сайты определить iCloud Private Relay?
Да, потому что диапазоны выходных адресов опубликованы. Сайт видит, что посетитель использует релей, но по одному IP не узнает, кто это.
Меняет ли Private Relay отпечаток моего браузера?
Нет. Сигналы отпечатка берутся из браузера и устройства, а не из IP. Что именно выдаёт ваш браузер, можно увидеть в проверке отпечатка.
Заключение
iCloud Private Relay — продуманный способ без усилий не дать сайтам и сети связать ваш IP с просмотром в Safari. Это не полноценный VPN, не защита от отпечатков и не невидимка для сайтов. Запустите инструмент IP-аналитики и проверку VPN/прокси с включённым и выключенным релеем — и вы увидите, что именно меняется.
Рекомендуем почитать:
