Предупреждение за филтриран или наблюдаван Mac VPN: какво позволява

Това предупреждение е разрешение, а не диагноза. Когато macOS казва, че дадена конфигурация ще филтрира или наблюдава трафика, той ви казва, че одобрен от вас компонент вижда пътя, който покрива, и пита дали това е приемливо. Диалогът не може да ви каже кой управлява компонента, какво записва или дешифрира ли нещо. Тези отговори се намират в профила, списъка с разширения и сертификатите на машината, затова започнете оттам, вместо да препрочитате изречението.

Четете известието като въпрос за обхвата

Всяко известие за активиране сочи две неща, без да ги назовава ясно: разширението, което ще обработва трафика, и конфигурацията, която насочва трафика към него. В актуалния macOS тези компоненти са системни разширения NetworkExtension и инсталирането или активирането на едно изисква одобрение в Системни настройки. Формулировката остава широка, защото операционната система не може да знае дали одобряващият е ИТ отдел, абонаментен VPN или филтриращ агент, вървящ с нещо друго.

Затова един и същ текст покрива три различни подредби. Управляван Mac получава профил от управлението на устройства, личен Mac получава конфигурация от приложение, което сте инсталирали, а продукт за сигурност може да инсталира филтър, който никога не се представя като VPN. Нито един от тези етикети не решава намерението. Те само ви казват коя страна да питате първа.

Две команди разделят тези случаи бързо. Първата изброява инсталираните системни разширения и дали всяко е активно, а втората изброява конфигурационни профили с техните товари и подписващата организация.

systemextensionsctl list
profiles show -type configuration

Различавайте тунел от филтър

Пакетният тунел дава на Mac маршрут и носи всичко, което таблицата за маршрутизация изпрати в него. Филтърът за съдържание стои на ниво на поток, вижда всяка връзка и може да я разреши, блокира или пренасочи. Даден продукт може да доставя и двете наведнъж и предупреждението не се променя, когато го прави. Разликата е важна, защото доказателствата, които можете да съберете, и отказите, които ще видите, са различни.

Проверете категорията на разширението, а не маркетинговото име. Тунелът обикновено се появява като VPN конфигурация и като мрежово разширение, докато филтърът може изобщо да няма VPN услуга. Ако продуктът предлага и двата режима, активната конфигурация избира един и превключването на режими може да промени покритото, без да сменя доставчика.

Списъкът с VPN услуги е най-бързият начин да видите дали има тунел. Филтър, който не е VPN, няма да се появи в него, което само по себе си е полезна информация.

scutil --nc list

Значката „свързано“ не е доказателство за покритие. Приложенията могат да бъдат изключени с правила за всяко приложение и трафикът към локалните мрежи често заобикаля тунела по дизайн. Когато едно приложение се държи така, сякаш е без надзор, подозирайте маршрут или изключване, преди да приемете, че мониторът е счупен.

Какво научава операторът, без да чете товарите

Метаданните не са утешителна награда. Адреси, портове, DNS имена, времена на връзка, брой байтове и идентичността, която се е удостоверила, са видими за компонента по пътя. Повтарящите се посещения на един хост в един и същ час изграждат рутина, а рутината може да каже повече от една страница.

Това е честният отговор на обичайния въпрос. Операторът вижда къде и кога, дори когато съдържанието остава запечатано.

Видимостта на товарите изисква втора, по-силна промяна. Правилно валидирана HTTPS сесия остава непрозрачна за тунел или филтър на поток, както и локалните файлове и трафикът, който никога не влиза в покрития път. Четенето на телата на страниците изисква сертификатен орган, на който Mac вече довярява, което означава сертификат за прихващане, инсталиран с собствено одобрение. Тази стъпка мести границата от метаданни към съдържание и заслужава отделно внимание.

Обхватът също спира до устройството. Тунел на един лаптоп не покрива телефон, таблет или машината на друг човек в същата Wi-Fi мрежа, а корпоративен клиент не може да инвентаризира другите посетители на кафето. Софтуерът за управление на устройства може да събере повече от това, което тунелът разкрива, но това е отделен контрол с друг собственик на политиката.

Инспектирайте хранилището за сертификати, преди да паникьосате

Довереният корен е разликата между наблюдение на трафика и четенето му. Инспектирайте системния ключодържател за органи, които не разпознавате, и отбелязвайте всеки, появил се около времето на известието. Управляван Mac може законно да носи корен за инспекция, изпратен от работодателя, и тогава разговорът принадлежи на администратора. Личен Mac, който е придобил такъв по невнимание, има находка, заслужаваща действие. Запишете общото име, издателя и датата на добавяне, за да може въпросът да бъде отговорен по-късно.

Сравнете този списък с това, което съобщава управлението на устройства. Ако списъкът с профили и списъкът със сертификати се разминават, списъкът със сертификати е този, който решава какво ще приеме Mac.

Две команди покриват голяма част от проверката. Първата отпечатва конфигурационните профили; втората отпечатва сертификатите в управлявания от администратора системен ключодържател, където обикновено попада добавеният корен.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Стандартните корени на Apple живеят в отделен ключодържател и не са безпокойството тук. Пуст резултат от втората команда е обичаен на личен Mac. Попълнен резултат заслужава четене субект по субект, преди да го отхвърлите.

Решете, след това запишете защо

Одобрението е разумно, когато можете да назовете оператора, компонента и причината и когато заявката съвпада с избор, който вие или вашата организация сте направили. Разследването е правилният отговор, когато известието идва без контекст, особено след промяна в мрежата или несвързана инсталация. Първо прексънете връзката, запишете идентификатора на профила и разширението, след това решете. Премахването е трети път и възстановява предишното маршрутизиране, без да пипа акаунта.

Третирайте съгласието и премахването като отделни решения, взети по различно време. Одобряването на филтър днес не ви задължава да го запазите, а премахването на профил не изтрива сървърните записи за това, което е наблюдавано, докато е бил активен.

Ако известието е следвало актуализация на софтуер, който вече използвате, прочетете бележките към изданието на тази версия, преди да щракнете. Доставчиците наистина променят архитектурата на разширенията между изданията и нов филтър може да дойде с рутинна актуализация. Ако известието е следвало свързване с нова мрежа, третирайте времето като доказателство и инспектирайте какво се е променило.

Пазете кратък запис: име на профила, идентификатор на разширението, оператор, отпечатък на сертификата, ако е добавен, и датата. Следващият човек може да започне от тази хронология, а не от формулировката на диалог.