Avís de VPN de Mac filtrada o monitorada: què permet

Aquest avís és un permís, no un diagnòstic. Quan macOS diu que una configuració filtrarà o monitorarà el trànsit, us indica que un component que heu aprovat pot veure el camí que cobreix i us pregunta si això és acceptable. El diàleg no us pot dir qui gestiona el component, què registra ni si desxifra res. Aquestes respostes són al perfil, a la llista d'extensions i als certificats de la màquina, així que comenceu per aquí en lloc de rellegir la frase.

Llegiu l'avís com una pregunta d'abast

Cada avís d'activació assenyala dues coses sense anomenar-les clarament: l'extensió que gestionarà el trànsit i la configuració que hi encamina el trànsit. Al macOS actual aquests components són extensions de sistema NetworkExtension, i instal·lar-ne o activar-ne una requereix aprovació a Configuració del Sistema. La redacció continua sent àmplia perquè el sistema operatiu no pot saber si qui aprova és un departament d'informàtica, una VPN de subscripció o un agent de filtratge inclòs amb una altra cosa.

Per això el mateix text cobreix tres situacions diferents. Un Mac gestionat rep un perfil de la gestió de dispositius, un Mac personal rep una configuració d'una aplicació que heu instal·lat, i un producte de seguretat pot instal·lar un filtre que mai es presenta com a VPN. Cap d'aquestes etiquetes no resol la intenció. Només us diuen amb quina part cal parlar primer.

Dues ordres separen aquests casos de seguida. La primera llista les extensions de sistema instal·lades i si cadascuna és activa, i la segona llista els perfils de configuració amb les seves càrregues i l'organització signant.

systemextensionsctl list
profiles show -type configuration

Distingiu un túnel d'un filtre

Un túnel de paquets dona al Mac una ruta i transporta tot el que la taula d'encaminament hi envia. Un filtre de contingut se situa al nivell de flux, mira cada connexió i pot permetre-la, bloquejar-la o redirigir-la. Un producte pot incloure tots dos alhora, i l'avís no canvia quan ho fa. La diferència és important perquè les proves que podeu recollir i les fallades que veureu són diferents.

Mireu la categoria de l'extensió, no el nom comercial. Un túnel sol aparèixer com a configuració de VPN i com a extensió de xarxa, mentre que un filtre pot no tenir cap servei de VPN. Si el producte ofereix tots dos modes, la configuració activa n'escull un, i canviar de mode pot canviar el que queda cobert sense canviar el proveïdor.

La llista de serveis de VPN és la manera més ràpida de veure si hi ha un túnel. Un filtre que no és una VPN no hi apareixerà, cosa que ja és informació útil.

scutil --nc list

La insígnia de connectat no és una prova de cobertura. Les aplicacions es poden excloure amb regles per aplicació, i el trànsit cap a xarxes locals sovint evita el túnel per disseny. Quan una aplicació es comporta com si no estigués vigilada, sospiteu d'una ruta o d'una exclusió abans de suposar que el monitor està espatllat.

Què aprèn l'operador sense llegir les càrregues

Les metadades no són un premi de consol. Les adreces, els ports, els noms DNS, els horaris de connexió, els recomptes de bytes i la identitat que s'ha autenticat són visibles per al component del camí. Les visites repetides a un mateix amfitrió a la mateixa hora construeixen una rutina, i una rutina pot dir més que una sola pàgina.

Aquesta és la resposta honesta a la pregunta habitual. L'operador pot veure on i quan, fins i tot quan el contingut queda segellat.

La visibilitat de les càrregues exigeix un segon canvi, més contundent. Una sessió HTTPS validada correctament continua opaca per a un túnel o un filtre de flux, i també ho són els fitxers locals i el trànsit que no entra mai al camí cobert. Llegir els cossos de les pàgines requereix una autoritat de certificació en què el Mac ja confiï, és a dir, un certificat d'intercepció instal·lat amb la seva pròpia aprovació. Aquest pas mou la frontera de les metadades al contingut i mereix una revisió a part.

L'abast també s'atura al dispositiu. Un túnel en un portàtil no cobreix un telèfon, una tauleta o la màquina d'una altra persona a la mateixa Wi-Fi, i un client corporatiu no pot inventariar els altres clients del cafè. El programari de gestió de dispositius pot recollir més del que exposa el túnel, però és un control a part amb un propietari de política diferent.

Inspeccioneu el magatzem de certificats abans de fer un crit

Una arrel de confiança és la diferència entre veure el trànsit i llegir-lo. Inspeccioneu el clauer del sistema a la recerca d'autoritats que no reconegueu i anoteu les que van aparèixer cap al moment de l'avís. Un Mac gestionat pot portar legítimament una arrel d'inspecció enviada per l'empresa, i llavors la conversa és amb l'administrador. Un Mac personal que n'ha adquirit una per accident té una troballa que val la pena tractar. Anoteu el nom comú, l'emissor i la data d'addició perquè la pregunta es pugui respondre més endavant.

Compareu aquesta llista amb el que informa la gestió de dispositius. Si la llista de perfils i la de certificats no coincideixen, la de certificats és la que decideix què acceptarà el Mac.

Dues ordres cobreixen la major part de la comprovació. La primera imprimeix els perfils de configuració; la segona imprimeix els certificats del clauer del sistema gestionat per l'administrador, que és on sol anar a parar una arrel afegida.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Les arrels estàndard d'Apple viuen en un clauer a part i no són la preocupació aquí. Un resultat buit de la segona ordre és habitual en un Mac personal. Un resultat ple mereix una lectura subjecte per subjecte abans de descartar-lo.

Decidiu, i després anoteu per què

L'aprovació és raonable quan podeu anomenar l'operador, el component i el motiu, i quan la petició coincideix amb una elecció que heu fet vosaltres o la vostra organització. La investigació és la resposta correcta quan l'avís arriba sense context, sobretot després d'un canvi de xarxa o d'una instal·lació no relacionada. Desconnecteu primer, captureu l'identificador del perfil i l'extensió, i després decidiu. L'eliminació és una tercera via, i restaura l'encaminament anterior sense tocar el compte.

Tracteu el consentiment i l'eliminació com a decisions separades preses en moments diferents. Aprovar un filtre avui no us obliga a quedar-vos-el, i eliminar un perfil no esborra els registres del servidor sobre el que es va observar mentre era actiu.

Si l'avís ha arribat després d'una actualització d'un programari que ja feu servir, llegiu les notes de la versió abans de fer clic. Els proveïdors sí que canvien l'arquitectura de les extensions entre versions, i un filtre nou pot arribar amb una actualització rutinària. Si l'avís ha arribat després de connectar-vos a una xarxa nova, tracteu el moment com a prova i inspeccioneu què ha canviat.

Porteu un registre breu: nom del perfil, identificador de l'extensió, operador, empremta del certificat si se n'ha afegit un, i la data. La persona següent pot començar per aquesta cronologia en lloc de per la redacció d'un diàleg.