Aviso de VPN de Mac filtrada o monitorizada: qué permite

Ese aviso es un permiso, no un diagnóstico. Cuando macOS dice que una configuración filtrará o monitorizará el tráfico, le está diciendo que un componente que usted aprobó puede ver la ruta que cubre y le pregunta si eso es aceptable. El diálogo no puede decirle quién gestiona el componente, qué registra ni si descifra algo. Esas respuestas están en el perfil, la lista de extensiones y los certificados del equipo, así que empiece por ahí en lugar de releer la frase.

Lea el aviso como una pregunta de alcance

Cada aviso de activación señala dos cosas sin nombrarlas con claridad: la extensión que gestionará el tráfico y la configuración que dirige el tráfico hacia ella. En el macOS actual estos componentes son extensiones de sistema NetworkExtension, e instalar o activar una requiere aprobación en Ajustes del Sistema. La redacción sigue siendo amplia porque el sistema operativo no puede saber si quien aprueba es un departamento de TI, una VPN de suscripción o un agente de filtrado incluido con otra cosa.

Por eso el mismo texto cubre tres situaciones distintas. Un Mac gestionado recibe un perfil de la gestión de dispositivos, un Mac personal recibe una configuración de una aplicación que usted instaló, y un producto de seguridad puede instalar un filtro que nunca se presenta como VPN. Ninguna de esas etiquetas resuelve la intención. Solo le dicen a qué parte preguntar primero.

Dos comandos separan esos casos con rapidez. El primero lista las extensiones de sistema instaladas y si cada una está activa, y el segundo lista los perfiles de configuración con sus cargas y la organización firmante.

systemextensionsctl list
profiles show -type configuration

Distinga un túnel de un filtro

Un túnel de paquetes da al Mac una ruta y transporta todo lo que la tabla de enrutamiento le envía. Un filtro de contenido se sitúa en el nivel de flujo, ve cada conexión y puede permitirla, bloquearla o redirigirla. Un producto puede incluir ambos a la vez, y el aviso no cambia cuando lo hace. La diferencia importa porque las pruebas que puede reunir y los fallos que verá son distintos.

Compruebe la categoría de la extensión, no el nombre comercial. Un túnel suele aparecer como configuración de VPN y como extensión de red, mientras que un filtro puede no tener ningún servicio de VPN. Si el producto ofrece ambos modos, la configuración activa elige uno, y cambiar de modo puede cambiar lo cubierto sin cambiar el proveedor.

La lista de servicios de VPN es la forma más rápida de ver si existe un túnel. Un filtro que no es una VPN no aparecerá en ella, lo que ya es información útil.

scutil --nc list

La insignia de conectado no es prueba de cobertura. Las aplicaciones pueden excluirse con reglas por aplicación, y el tráfico hacia redes locales a menudo evita el túnel por diseño. Cuando una aplicación se comporta como si no estuviera vigilada, sospeche de una ruta o de una exclusión antes de suponer que el monitor está roto.

Qué aprende el operador sin leer las cargas

Los metadatos no son un premio de consolación. Las direcciones, los puertos, los nombres DNS, los horarios de conexión, los recuentos de bytes y la identidad que se autenticó son visibles para el componente de la ruta. Las visitas repetidas a un mismo host a la misma hora construyen una rutina, y una rutina puede decir más que una sola página.

Esa es la respuesta honesta a la pregunta habitual. El operador puede ver dónde y cuándo, incluso cuando el contenido permanece sellado.

La visibilidad de las cargas exige un segundo cambio, más contundente. Una sesión HTTPS validada correctamente sigue siendo opaca para un túnel o un filtro de flujo, y también lo son los archivos locales y el tráfico que nunca entra en la ruta cubierta. Leer los cuerpos de las páginas requiere una autoridad de certificación en la que el Mac ya confíe, es decir, un certificado de interceptación instalado con su propia aprobación. Ese paso mueve la frontera de los metadatos al contenido y merece una revisión aparte.

El alcance también termina en el dispositivo. Un túnel en un portátil no cubre un teléfono, una tableta ni el equipo de otra persona en la misma Wi-Fi, y un cliente corporativo no puede inventariar a los demás clientes de la cafetería. El software de gestión de dispositivos puede recopilar más de lo que expone el túnel, pero es un control aparte con otro propietario de la política.

Inspeccione el almacén de certificados antes de entrar en pánico

Una raíz de confianza es la diferencia entre ver el tráfico y leerlo. Inspeccione el llavero del sistema en busca de autoridades que no reconozca y anote las que aparecieron cerca del momento del aviso. Un Mac gestionado puede llevar legítimamente una raíz de inspección enviada por la empresa, y entonces la conversación corresponde al administrador. Un Mac personal que adquirió una por accidente tiene un hallazgo que merece actuación. Anote el nombre común, el emisor y la fecha de adición para que la pregunta pueda responderse más adelante.

Compare esa lista con lo que informa la gestión de dispositivos. Si la lista de perfiles y la de certificados no coinciden, la de certificados es la que decide qué aceptará el Mac.

Dos comandos cubren la mayor parte de la comprobación. El primero imprime los perfiles de configuración; el segundo imprime los certificados del llavero del sistema gestionado por el administrador, que es donde suele acabar una raíz añadida.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Las raíces estándar de Apple viven en un llavero aparte y no son la preocupación aquí. Un resultado vacío del segundo comando es habitual en un Mac personal. Un resultado lleno merece una lectura sujeto por sujeto antes de descartarlo.

Decida y luego anote por qué

La aprobación es razonable cuando puede nombrar al operador, el componente y el motivo, y cuando la solicitud coincide con una elección que usted o su organización hicieron. La investigación es la respuesta correcta cuando el aviso llega sin contexto, sobre todo tras un cambio de red o una instalación no relacionada. Desconecte primero, capture el identificador del perfil y la extensión, y luego decida. La eliminación es una tercera vía, y restaura el enrutamiento anterior sin tocar la cuenta.

Trate el consentimiento y la eliminación como decisiones separadas tomadas en momentos distintos. Aprobar un filtro hoy no le obliga a conservarlo, y eliminar un perfil no borra los registros del servidor sobre lo que se observó mientras estaba activo.

Si el aviso llegó tras una actualización de un software que ya utiliza, lea las notas de la versión antes de hacer clic. Los proveedores sí cambian la arquitectura de las extensiones entre versiones, y un filtro nuevo puede llegar con una actualización rutinaria. Si el aviso llegó tras conectarse a una red nueva, trate el momento como prueba e inspeccione qué cambió.

Mantenga un registro breve: nombre del perfil, identificador de la extensión, operador, huella del certificado si se añadió uno, y la fecha. La siguiente persona puede empezar por esa cronología en lugar de por la redacción de un diálogo.