Mac VPN filtrləmə və ya monitorinq xəbərdarlığı: nəyə icazə verir

Bu xəbərdarlıq diaqnoz deyil, icazə vərəqəsidir. macOS hansısa konfiqurasiyanın trafiki filtrləyəcəyini və ya izləyəcəyini bildirdikdə, təsdiqlədiyiniz komponentin əhatə etdiyi yolu görə bildiyini söyləyir və bunun məqbul olub-olmadığını soruşur. Dialoq komponenti kimin idarə etdiyini, nəyi qeyd etdiyini və ya nəyisə şifrədən çıxarıb-çıxarmadığını deyə bilmir. Bu cavablar profildə, genişləndirmə siyahısında və maşındakı sertifikatlarda durur, ona görə cümləni yenidən oxumaq əvəzinə oradan başlayın.

Bildirişi əhatə dairəsi sualı kimi oxuyun

Hər aktivləşdirmə bildirişi iki şeyi aydın adlandırmadan göstərir: trafiki idarə edəcək genişləndirmə və trafiki ona yönəldən konfiqurasiya. Hazırkı macOS-da bu komponentlər NetworkExtension sistem genişləndirmələridir və birinin quraşdırılması və ya aktivləşdirməsi Sistem Ayarlarında təsdiq tələb edir. İfadə geniş qalır, çünki əməliyyat sistemi təsdiqləyənin İT şöbəsi, abunəlik əsaslı VPN yoxsa başqa bir şeylə gələn filtr agenti olduğunu bilə bilmir.

Buna görə eyni mətn üç fərqli quruluşu əhatə edir. İdarə olunan Mac cihaz idarəçiliyindən profil alır, şəxsi Mac quraşdırdığınız tətbiqdən konfiqurasiya alır və təhlükəsizlik məhsulu özünü heç vaxt VPN kimi təqdim etməyən filtr quraşdıra bilər. Bu adların heç biri niyyəti həll etmir. Onlar yalnız ilk olaraq hansı tərəfi sorğulamağınızı deyir.

İki əmr bu halları tez ayırır. Birincisi quraşdırılmış sistem genişləndirmələrini və hər birinin aktiv olub-olmadığını sadalayır, ikincisi konfiqurasiya profillərini yükləri və imzalayan təşkilatla birlikdə göstərir.

systemextensionsctl list
profiles show -type configuration

Tuneli filtrdən ayırın

Paket tuneli Mac-ə marşrut verir və marşrut cədvəlinin ona göndərdiyi hər şeyi daşıyır. Məzmun filtri axın səviyyəsində oturur, hər bağlantıya baxır və onu icazə verə, bloklaya və ya yönləndirə bilər. Bir məhsul hər ikisini birlikdə təqdim edə bilər və o zaman xəbərdarlıq dəyişmir. Fərq vacibdir, çünki toplaya biləcəyiniz sübutlar və görəcəyiniz uğursuzluqlar fərqlidir.

Marketinq adına deyil, genişləndirmə kateqoriyasına baxın. Tunel adətən VPN konfiqurasiyası və şəbəkə genişləndirməsi kimi görünür, filtrin isə ümumiyyətlə VPN xidməti olmaya bilər. Məhsul hər iki rejimi təklif edirsə, aktiv konfiqurasiya birini seçir və rejimləri dəyişmək təchizatçını dəyişmədən əhatə olunanı dəyişə bilər.

VPN xidmətlərinin siyahısı tunelin olub-olmadığını görməyin ən sürətli yoludur. VPN olmayan filtr orada görünməyəcək və bu özlüyündə faydalı məlumatdır.

scutil --nc list

Qoşulmuş nişanı əhatə sübutu deyil. Tətbiqlər hər tətbiq üçün qaydalarla istisna edilə bilər və yerli şəbəkələrə trafik çox vaxt dizayn etibarilə tuneli yan keçir. Bir tətbiq nəzarətsiz kimi davrandıqda, monitorun xarab olduğunu güman etməzdən əvvəl marşrutdan və ya istisnadan şübhələnin.

Operatorun yükləri oxumadan öyrəndikləri

Metaməlumat təsəlli mükafatı deyil. Ünvanlar, portlar, DNS adları, bağlantı vaxtları, bayt sayları və autentifikasiyadan keçən şəxsiyyət yolun üzərindəki komponent üçün görünürdür. Eyni hosta eyni saatda təkrar səfərlər bir rutin qurur və rutin bir səhifədən çoxunu deyə bilər.

Adi suala dürüst cavab budur. Operator məzmun möhürlü qalsa belə, harada və nə vaxt olduğunu görə bilir.

Yüklərin görünməsi ikinci, daha yüksək səsli dəyişiklik tələb edir. Düzgün yoxlanılmış HTTPS sessiyası tunel və ya axın filtri üçün qeyri-şəffaf qalır; yerli fayllar və əhatə olunan yola heç vaxt girməyən trafik də belədir. Səhifə gövdələrini oxumaq Mac-in artıq etibar etdiyi sertifikat orqanını tələb edir, yəni öz təsdiqi ilə quraşdırılan müdaxilə sertifikatını. Bu addım sərhədi metaməlumatdan məzmuna keçirir və ayrıca baxışa layiqdir.

Əhatə dairəsi cihazda da bitir. Bir noutbukdakı tunel eyni Wi-Fi-dakı telefonu, planşeti və ya başqa birinin maşınını əhatə etmir və korporativ müştəri kafenin digər müştərilərini siyahıya ala bilməz. Cihaz idarəçiliyi proqramı tunelin açıqlamasından çoxunu toplaya bilər, lakin bu, fərqli siyasət sahibi olan ayrı bir nəzarətdir.

Panikaya düşməzdən əvvəl sertifikat anbarını yoxlayın

Etibarlı kök trafiki izləməklə onu oxumaq arasındakı fərqdir. Tanımadığınız orqanlar üçün sistem açar zəncirini yoxlayın və bildirişin göründüyü vaxta yaxın peyda olanları qeyd edin. İdarə olunan Mac işəgötürənin göndərdiyi yoxlama kökünü qanuni olaraq daşıya bilər və o zaman söhbət administratora aiddir. Təsadüfən belə bir kök əldə etmiş şəxsi Mac-ın hərəkət etməyə dəyər bir tapıntısı var. Ümumi adı, verən orqanı və əlavə tarixini qeyd edin ki, sual sonra cavablandırıla bilsin.

Bu siyahını cihaz idarəçiliyinin bildirdikləri ilə mücayisə edin. Profil siyahısı və sertifikat siyahısı uyğun gəlmirsə, Mac-in nəyi qəbul edəcəyini sertifikat siyahısı həll edir.

İki əmr yoxlamanın çoxunu əhatə edir. Birincisi konfiqurasiya profillərini çap edir; ikincisi administratorun idarə etdiyi sistem açar zəncirindəki sertifikatları çap edir, əlavə olunan kök adətən orada yerləşir.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Standart Apple kökləri ayrı bir açar zəncirində yaşayır və burada narahatlıq mövzusu deyil. İkinci əmrdən boş nəticə şəxsi Mac-da adi haldır. Dolu nəticə isə ondan imtina etməzdən əvvəl mövzu-mövzu oxunmağa layiqdir.

Qərar verin, sonra səbəbini yazın

Təsdiq operatoru, komponenti və səbəbi adlandıra bildiyiniz zaman və sorğu sizin və ya təşkilatınızın etdiyi seçimə uyğun gəldikdə məqbuldur. Bildiriş kontekstsiz gəldikdə, xüsusən şəbəkə dəyişikliyindən və ya əlaqəsiz quraşdırmadan sonra, düzgün cavab araşdırmadır. Əvvəlcə bağlantını kəsin, profil identifikatorunu və genişləndirməni qeydə alın, sonra qərar verin. Silmə üçüncü yoldur və hesaba toxunmadan əvvəlki marşrutlaşdırmanı bərpa edir.

Razılığı və silməni fərqli vaxtlarda verilən ayrı qərarlar kimi qəbul edin. Bu gün bir filtri təsdiqləmək onu saxlamağa borclandırmır və profilin silinməsi aktiv olduğu müddətdə müşahidə edilənlərin serverdəki qeydlərini silmir.

Bildiriş artıq işlətdiyiniz proqramın yenilənməsindən sonra gəlibsə, klikləməzdən əvvəl həmin versiyanın buraxılış qeydlərini oxuyun. Təchizatçılar buraxılışlar arasında genişləndirmə arxitekturasını həqiqətən dəyişir və rutin yeniləmə ilə yeni filtr gələ bilər. Bildiriş yeni şəbəkəyə qoşulmadan sonra gəlibsə, vaxtı sübut kimi qəbul edin və nəyin dəyişdiyini yoxlayın.

Qısa bir qeyd saxlayın: profil adı, genişləndirmə identifikatoru, operator, əlavə olunubsa sertifikat barmaq izi və tarix. Növbəti şəxs dialoqun ifadəsindən deyil, bu xronologiyadan başlaya bilər.