Averto pri filtrita aŭ observata Mac-VPN: kion ĝi permesas

Tiu averto estas permeso, ne diagnozo. Kiam macOS diras, ke agordo filtros aŭ observos trafikon, ĝi diras al vi, ke komponento, kiun vi aprobis, povas vidi la vojon, kiun ĝi kovras, kaj demandas, ĉu tio estas akceptebla. La dialogo ne povas diri al vi, kiu administras la komponenton, kion ĝi registras aŭ ĉu ĝi malĉifras ion. Tiuj respondoj troviĝas en la profilo, la etendaĵa listo kaj la atestiloj sur la maŝino, do komencu tie anstataŭ relegi la frazon.

Legu la sciigon kiel demandon pri amplekso

Ĉiu aktiviga sciigo montras al du aferoj sen klare nomi ilin: la etendaĵo, kiu pritraktos trafikon, kaj la agordo, kiu direktas trafikon en ĝin. Sur nuna macOS tiuj komponentoj estas sistemaj etendaĵoj NetworkExtension, kaj instalado aŭ aktivigo de unu postulas aprobon en Sistemaj agordoj. La vortumo restas larĝa, ĉar la operaciumo ne povas scii, ĉu la aprobanto estas IT-fako, abona VPN aŭ filtriga agento aldonita al io alia.

Tial la sama teksto kovras tri malsamajn aranĝojn. Administrata Mac ricevas profilon de aparata administrado, persona Mac ricevas agordon de aplikaĵo, kiun vi instalis, kaj sekureca produkto povas instali filtron, kiu neniam prezentas sin kiel VPN. Neniu el tiuj etikedoj decidas la intencon. Ili nur diras al vi, kiun flankon demandi unue.

Du komandoj apartigas tiujn kazojn rapide. La unua listigas instalitajn sistemajn etendaĵojn kaj ĉu ĉiu estas aktiva, kaj la dua listigas agordajn profilojn kun ilia enhavo kaj la subskribinta organizo.

systemextensionsctl list
profiles show -type configuration

Distingi tunelon disde filtro

Paketa tunelo donas al la Mac itineron kaj portas ĉion, kion la enkursiga tabelo sendas en ĝin. Enhavfiltrilo sidas ĉe flua nivelo, vidas ĉiun konekton, kaj povas permesi, bloki aŭ alidirekti ĝin. Produkto povas liveri ambaŭ samtempe, kaj la averto ne ŝanĝiĝas kiam ĝi faras. La diferenco gravas, ĉar la pruvoj, kiujn vi povas kolekti, kaj la misfunkcioj, kiujn vi vidos, diferencas.

Kontrolu la kategorion de la etendaĵo, ne la merkatan nomon. Tunelo kutime aperas kiel VPN-agordo kaj kiel reta etendaĵo, dum filtrilo eble tute ne havas VPN-servon. Se la produkto ofertas ambaŭ reĝimojn, la aktiva agordo elektas unu, kaj ŝanĝo de reĝimo povas ŝanĝi la kovritan sen ŝanĝi la vendiston.

La listo de VPN-servoj estas la plej rapida maniero vidi, ĉu tunelo ekzistas. Filtrilo, kiu ne estas VPN, ne aperos en ĝi, kio mem estas utila informo.

scutil --nc list

Konektita insigno ne estas pruvo de kovrado. Aplikaĵoj povas esti ekskluditaj per reguloj por ĉiu aplikaĵo, kaj trafiko al lokaj retoj ofte preterpasas la tunelon laŭdezajne. Kiam unu aplikaĵo kondutas kvazaŭ ĝi estus neobservata, suspektu itineron aŭ ekskludon antaŭ ol supozi, ke la observilo rompiĝis.

Kion la funkciiganto lernas sen legi enhavon

Metadatumoj ne estas konsola premio. Adresoj, pordoj, DNS-nomoj, konektaj tempoj, bitokaj nombroj kaj la identeco, kiu aŭtentikiĝis, ĉiuj videblas al la komponento sur la vojo. Ripetaj vizitoj al unu gastiganto en la sama horo konstruas rutinon, kaj rutino povas diri pli ol unu paĝo.

Tio estas la honesta respondo al la kutima demando. La funkciiganto povas vidi kie kaj kiam, eĉ kiam la enhavo restas sigelita.

Videbleco de enhavo postulas duan, pli laŭtan ŝanĝon. Ĝeuste validigita HTTPS-sesio restas maldiafana por tunelo aŭ flua filtrilo, kaj same lokaj dosieroj kaj trafiko, kiu neniam eniras la kovritan vojon. Legi paĝajn korpojn postulas atestan aŭtoritaton, kiun la Mac jam fidas, do interkaptan atestilon instalitan kun propra aprobo. Tiu paŝo movas la limon de metadatumoj al enhavo kaj meritas apartan ekzamenon.

La amplekso ankaŭ haltas ĉe la aparato. Tunelo sur unu tekokomputilo ne kovras telefonon, tabulkomputilon aŭ alies maŝinon en la sama Wi-Fi, kaj kompania kliento ne povas inventari la aliajn gastojn de la kafejo. Aparatadministrada programaro povas kolekti pli ol la tunelo malkaŝas, sed tio estas aparta regado kun alia politikposedanto.

Inspektu la atestilan konservejon antaŭ ol paniki

Fidita radiko estas la diferenco inter observi trafikon kaj legi ĝin. Inspektu la sisteman ŝlosilaron por aŭtoritatoj, kiujn vi ne rekonas, kaj notu tiujn, kiuj aperis ĉirkaŭ la tempo de la sciigo. Administrata Mac povas laŭleĝe porti inspektan radikon puŝitan de la dunganto, kaj tiam la konversacio apartenas al la administranto. Persona Mac, kiu akiris unu hazarde, havas konstaton indan je ago. Notu la komunan nomon, la eldoninton kaj la aldonan daton, por ke la demando povu esti respondita poste.

Komparu tiun liston kun tio, kion raportas aparatadministrado. Se la profillisto kaj la atestillisto malkonsentas, la atestillisto decidas, kion la Mac akceptos.

Du komandoj kovras la plejparton de la kontrolo. La unua presas agordajn profilojn; la dua presas atestilojn en la de administranto regata sistema ŝlosilaro, kie aldonita radiko kutime finiĝas.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

La normaj radikoj de Apple loĝas en aparta ŝlosilaro kaj ne estas la zorgo ĉi tie. Malplena rezulto de la dua komando estas kutima sur persona Mac. Plena rezulto meritas legadon subjekto post subjekto antaŭ ol vi forĵetu ĝin.

Decidu, poste skribu kial

Aprobo estas racia kiam vi povas nomi la funkciiganton, la komponenton kaj la kialon, kaj kiam la peto kongruas kun elekto, kiun vi aŭ via organizo faris. Esploro estas la ĝusta respondo kiam la sciigo venas sen kunteksto, precipe post reta ŝanĝo aŭ nerilata instalado. Unue malkonektu, registru la profilan identigilon kaj la etendaĵon, poste decidu. Forigo estas tria vojo, kaj ĝi restarigas la antaŭan enkursigadon sen tuŝi la konton.

Traktu konsenton kaj forigon kiel apartajn decidojn faritajn en malsamaj tempoj. Aprobi filtrilon hodiaŭ ne devigas vin teni ĝin, kaj forigo de profilo ne forviŝas servilflankajn registraĵojn pri tio, kio estis observita dum ĝi estis aktiva.

Se la sciigo sekvis ĝisdatigon de programaro, kiun vi jam uzas, legu la eldonnotojn de tiu versio antaŭ ol klaki. Vendistoj ja ŝanĝas etendaĵan arkitekturon inter eldonoj, kaj nova filtrilo povas alveni kun rutina ĝisdatigo. Se la sciigo sekvis aliĝon al nova reto, traktu la tempon kiel pruvon kaj inspektu, kio ŝanĝiĝis.

Tenu mallongan registron: profila nomo, etendaĵa identigilo, funkciiganto, atestila fingrospuro se unu aldoniĝis, kaj la dato. La sekva persono povas komenci de tiu templinio anstataŭ de la vortumo de dialogo.