Папярэджанне пра фільтраваны ці падкантрольны Mac VPN: што яно дазваляе

Гэтае папярэджанне — дазвол, а не дыягназ. Калі macOS паведамляе, што канфігурацыя будзе фільтраваць або адсочваць трафік, ён кажа, што ўхвалены вамі кампанент бачыць шлях, які ахоплівае, і пытаецца, ці гэта дапушчальна. Дыялог не можа сказаць, хто кіруе кампанентам, што ён запісвае і ці нешта расшыфроўвае. Адказы ляжаць у профілі, спісе пашырэнняў і сертыфікатах на машыне, таму пачніце адтуль, а не з перачытвання фразы.

Чытайце паведамленне як пытанне пра абсяг

Кожнае паведамленне пра актывацыю паказвае на дзве рэчы, не называючы іх ясна: пашырэнне, якое будзе апрацоўваць трафік, і канфігурацыю, якая накіроўвае трафік у яго. У актуальнай macOS гэтыя кампаненты — сістэмныя пашырэнні NetworkExtension, і ўсталяванне або актывацыя аднаго патрабуе згоды ў Сістэмных наладах. Фармулёўка застаецца шырокай, бо аперацыйная сістэма не можа ведаць, ці той, хто ўхваліў, — аддзел ІТ, падпісны VPN ці агент фільтрацыі разам з чымсьці іншым.

Таму адзін і той жа тэкст ахоплівае тры розныя ўладкаванні. Кіраваны Mac атрымлівае профіль ад кіравання прыладамі, асабісты Mac атрымлівае канфігурацыю ад усталяванай вамі праграмы, а прадукт бяспекі можа ўсталяваць фільтр, які ніколі не падае сябе як VPN. Ніводная з гэтых назваў не вырашае намер. Яны толькі кажуць, каго пытаць першым.

Дзве каманды хутка раздзяляюць гэтыя выпадкі. Першая пералічвае ўсталяваныя сістэмныя пашырэнні і ці актыўнае кожнае, другая — профілі канфігурацыі з іх карыснай навалай і арганізацыяй, што падпісала.

systemextensionsctl list
profiles show -type configuration

Адрозніце тунель ад фільтра

Пакетны тунель дае Mac маршрут і нясе ўсё, што накіроўвае ў яго табліца маршрутызацыі. Фільтр змесціва стаіць на ўзроўні патоку, бачыць кожнае злучэнне і можа дазволіць, заблакаваць або перанакіраваць яго. Прадукт можа пастаўляць абодва адначасова, і папярэджанне не змяняецца, калі так. Розніца важная, бо доказы, якія вы можаце збраць, і збоі, якія ўбачыце, розныя.

Праверце катэгорыю пашырэння, а не маркетынгавую назву. Тунель звычайна выглядае як канфігурацыя VPN і як сеткавае пашырэнне, а фільтр можа зусім не мець службы VPN. Калі прадукт прапануе абодва рэжымы, актыўная канфігурацыя выбірае адзін, і пераключэнне рэжымаў можа змяніць ахопленае, не змяняючы пастаўшчыка.

Спіс службаў VPN — самы хуткі спосаб убачыць, ці ёсць тунель. Фільтр, які не з’яўляецца VPN, у ім не з’явіцца, і гэта само па сабе карысная інфармацыя.

scutil --nc list

Значок «падключана» — не доказ ахопу. Праграмы можна выключыць правіламі для кожнай праграмы, і трафік да лакальных сетак часта абыходзіць тунель па задуме. Калі адна праграма паводзіць сябе так, нібы яна без нагляду, падазравайце маршрут або выключэнне, перш чым лічыць манітор зламаным.

Што аператар даведваецца, не чытаючы навалу

Метаданыя — не суцяшальны прыз. Адрасы, порты, імёны DNS, час злучэнняў, колькасць байтаў і ідэнтычнасць, што прайшла аўтэнтыфікацыю, бачныя кампаненту на шляху. Паўторныя наведванні аднаго хоста ў адзін і той жа час будуюць руціну, а руціна можа сказаць болей за адну старонку.

Гэта сумленны адказ на звычайнае пытанне. Аператар бачыць дзе і калі, нават калі змесціва застаецца зачыненым.

Бачнасць навалы патрабуе другой, гучнейшай змены. Правільна правераная сесія HTTPS застаецца непразрыстай для тунеля або фільтра патоку, як і лакальныя файлы і трафік, што ніколі не трапляе на ахоплены шлях. Чытанне целаў старонак патрабуе цэнтра сертыфікацыі, якому Mac ужо давярае, гэта значыць сертыфікат перахопу, усталяваны з асобнай згодай. Гэты крок пераносіць мяжу ад метаданых да змесціва і заслугоўвае асобнай увагі.

Абсяг таксама спыняецца на прыладзе. Тунель на адным ноўтбуку не ахоплівае тэлефон, планшэт або машыну іншага чалавека ў той жа Wi-Fi, а карпаратыўны кліент не можа пералічыць іншых наведвальнікаў кавярні. Праграмы кіравання прыладамі могуць збіраць болей, чым паказвае тунель, але гэта асобны кантроль з іншым уладальнікам палітыкі.

Агледзьце сховішча сертыфікатаў, перш чым панікаваць

Давераны корань — гэта розніца паміж назіраннем за трафікам і яго чытаннем. Агледзьце сістэмную звязку ключоў на прадмет цэнтраў, якіх не пазнаеце, і адзначце тыя, што з’явіліся прыблізна тады ж, калі і паведамленне. Кіраваны Mac можа законна мець корань інспекцыі, прасунуты працадаўцам, і тады размова належыць адміністратару. Асабісты Mac, які набыў такі выпадкова, мае знаходку, вартую дзеяння. Запішыце агульную назву, выдаўца і дату дадання, каб на пытанне можна было адказаць пазней.

Параўнайце гэты спіс з тым, што паведамляе кіраванне прыладамі. Калі спіс профіляў і спіс сертыфікатаў не супадаюць, менавіта спіс сертыфікатаў вырашае, што Mac прыме.

Дзве каманды пакрываюць большую частку праверкі. Першая друкуе профілі канфігурацыі; другая друкуе сертыфікаты ў кіраванай адміністратарам сістэмнай звязцы ключоў, куды звычайна трапляе дададзены корань.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Стандартныя карані Apple жывуць у асобнай звязцы ключоў і тут не турбуюць. Пусты вынік другой каманды — звычайная справа на асабістым Mac. Запоўнены вынік варты чытання па кожным суб’екце, перш чым яго адкінуць.

Вырашыце, а потым запішыце чаму

Згода разумная, калі вы можаце назваць аператара, кампанент і прычыну, і калі запыт адпавядае выбару, зробленаму вамі або вашай арганізацыяй. Расследаванне — правільны адказ, калі паведамленне прыходзіць без кантэксту, асабліва пасля змены сеткі або незвязанага ўсталявання. Спачатку адключыцеся, зафіксуйце ідэнтыфікатар профілю і пашырэнне, потым вырашайце. Выдаленне — трэці шлях, і яно вяртае ранейшую маршрутызацыю, не кранаючы ўліковы запіс.

Стаўцеся да згоды і выдалення як да асобных рашэнняў, прынятых у розны час. Ухваленне фільтра сёння не абавязвае вас трымаць яго, а выдаленне профілю не сцірае сервеарныя запісы пра тое, што назіралася, пакуль ён дзейнічаў.

Калі паведамленне прыйшло пасля абнаўлення праграмы, якую вы ўжо выкарыстоўваеце, прачытайце заўвагі да выпуску гэтай версіі, перш чым націскаць. Пастаўшчыкі сапраўды змяняюць архітэктуру пашырэнняў паміж выпускамі, і новы фільтр можа прыйсці з руцінным абнаўленнем. Калі паведамленне прыйшло пасля падключэння да новай сеткі, лічыце час доказам і агледзьце, што змянілася.

Трымайце кароткі запіс: назва профілю, ідэнтыфікатар пашырэння, аператар, адбітак сертыфіката, калі ён дададзены, і дата. Наступны чалавек можа пачаць з гэтай храналогіі, а не з фармулёўкі дыялогу.