Hoiatus filtreeritud või jälgitud Mac VPN-i kohta: mida see lubab

See hoiatus on luba, mitte diagnoos. Kui macOS teatab, et konfiguratsioon hakkab liiklust filtreerima või jälgima, ütleb see teile, et teie kinnitatud komponent näeb teed, mida see katab, ja küsib, kas see on vastuvõetav. Dialoog ei saa öelda, kes komponenti haldab, mida see salvestab või kas see midagi dešifreerib. Need vastused on profiilis, laienduste loendis ja masinas olevates sertifikaatides, seega alustage sealt, mitte lause uuesti lugemisest.

Lugege teadet ulatuse küsimusena

Iga aktiveerimisteade osutab kahele asjale, ilma neid selgelt nimetamata: laiendus, mis liiklust hakkab käsitlema, ja konfiguratsioon, mis liikluse sinna suunab. Praeguses macOS-is on need komponendid NetworkExtensioni süsteemilaiendid ning ühe installimine või aktiveerimine nõuab kinnitust süsteemiseadetes. Sõnastus jääb laiaks, sest operatsioonisüsteem ei saa teada, kas kinnitaja on IT-osakond, tellitav VPN või mõne muu asjaga kaasas olev filtreerimisagent.

Seetõttu katab sama tekst kolme erinevat korraldust. Hallatav Mac saab profiili seadmehaldusest, isiklik Mac saab konfiguratsiooni rakendusest, mille te installisite, ja turbetoode võib installida filtri, mis ei esitle end kunagi VPN-ina. Ükski neist siltidest ei otsusta kavatsust. Need ütlevad ainult, kellelt kõigepealt küsida.

Kaks käsku eristavad need juhtumid kiiresti. Esimene loetleb paigaldatud süsteemilaiendid ja selle, kas igaüks on aktiivne, teine loetleb konfiguratsiooniprofiilid koos nende sisu ja allkirjastanud organisatsiooniga.

systemextensionsctl list
profiles show -type configuration

Eristage tunnel filtrist

Paketitunnel annab Macile marsruudi ja kannab kõike, mida marsruutimistabel sinna saadab. Sisu filter asub voo tasandil, näeb iga ühendust ning võib selle lubada, blokeerida või ümber suunata. Toode võib pakkuda mõlemat korraga ja hoiatus ei muutu, kui ta seda teeb. Erinevus on oluline, sest tõendid, mida koguda saate, ja tõrked, mida näete, on erinevad.

Kontrollige laienduse kategooriat, mitte turundusnime. Tunnel ilmub tavaliselt VPN-konfiguratsiooni ja võrgulaiendusena, samas kui filtril ei pruugi VPN-teenust üldse olla. Kui toode pakub mõlemat režiimi, valib aktiivne konfiguratsioon ühe ning režiimi vahetamine võib muuta kaetut ilma tarnijat muutmata.

VPN-teenuste loend on kiireim viis näha, kas tunnel on olemas. Filter, mis ei ole VPN, sinna ei ilmu, mis on iseenesest kasulik teave.

scutil --nc list

Ühendatud märk ei ole katvuse tõestus. Rakendusi saab reeglitega rakenduse kaupa välja jätta ja liiklus kohalikesse võrkudesse möödub tunnelist sageli projekti järgi. Kui üks rakendus käitub nii, nagu seda ei jälgitaks, kahtlustage marsruuti või väljajättu, enne kui eeldate, et monitor on katki.

Mida operaator õpib ilma sisu lugemata

Metaandmed ei ole lohutusauhind. Aadressid, pordid, DNS-nimed, ühenduse ajad, baidiarvud ja autenditud identiteet on kõik teel olevale komponendile nähtavad. Korduvad külastused ühe hosti juurde samal tunnil loovad rutiini ja rutiin võib öelda rohkem kui üks leht.

See on aus vastus tavapärasele küsimusele. Operaator näeb kus ja millal, isegi kui sisu jääb pitseerituks.

Sisu nähtavus nõuab teist, valjemat muutust. Õigesti valideeritud HTTPS-seanss jääb tunnelile või voolufiltrile läbipaistmatuks, samuti kohalikud failid ja liiklus, mis ei jõua kunagi katetud teele. Lehtede sisu lugemine nõuab sertifitseerimisasutust, mida Mac juba usaldab, see tähendab vahendamissertifikaati, mis on paigaldatud omaette kinnitusega. See samm nihutab piiri metaandmetelt sisule ja väärib eraldi käsitlemist.

Ulatuse piir on ka seade. Ühe sülearvuti tunnel ei kata telefoni, tahvelarvutit ega teise inimese masinat samas Wi-Fi-võrgus ning ettevõtte klient ei saa kohviku teisi külastajaid loendada. Seadmehaldustarkvara võib koguda rohkem, kui tunnel paljastab, kuid see on eraldi juhtimine teise poliitikaomanikuga.

Kontrollige sertifikaadihoidlat enne paanikat

Usaldusväärne juur on vahe jälgimise ja lugemise vahel. Kontrollige süsteemivõtmehoidlat asutuste suhtes, mida te ei tunne, ja märkige need, mis ilmusid teate aja paiku. Hallatav Mac võib seaduslikult kanda tööandja lükatud kontrollijuurt ja siis kuulub vestlus administraatorile. Isiklik Mac, mis sai sellise kogemata, omab leidu, millega tasub tegeleda. Kirjutage üles harilik nimi, väljaandja ja lisamise kuupäev, et küsimusele saaks hiljem vastata.

Võrrelge seda loendit sellega, mida seadmehaldus teatab. Kui profiilide loend ja sertifikaatide loend ei kattu, otsustab sertifikaatide loend, mida Mac vastu võtab.

Kaks käsku katavad suurema osa kontrollist. Esimene prindib konfiguratsiooniprofiilid, teine prindib sertifikaadid administraatori hallatavas süsteemivõtmehoidlas, kuhu lisatud juur tavaliselt maandub.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Apple'i standardsed juured elavad eraldi võtmehoidlas ja ei ole siin murekoht. Teise käsu tühi tulemus on isiklikus Macis tavaline. Täidetud tulemus väärib subjekt-subjekti haaval lugemist, enne kui selle kõrvale heidate.

Otsustage ja kirjutage siis üles, miks

Kinnitus on mõistlik, kui saate nimetada operaatori, komponendi ja põhjuse ning kui taotlus vastab valikule, mille tegite teie või teie organisatsioon. Uurimine on õige vastus, kui teade saabub ilma kontekstita, eriti pärast võrgu muutust või seostamatut installi. Ühendage esmalt lahti, jäädvustage profiili identifikaator ja laiendus, seejärel otsustage. Eemaldamine on kolmas tee ja taastab varasema marsruutimise kontot puutumata.

Käsitlege nõusolekut ja eemaldamist eraldi otsustena, mis tehakse eri aegadel. Filtri kinnitamine täna ei kohusta teid seda hoidma ja profiili eemaldamine ei kustuta serveripoolseid kirjeid selle kohta, mida täheldati, kui see oli aktiivne.

Kui teade järgnes juba kasutatava tarkvara värskendusele, lugege enne klõpsamist selle versiooni väljalaskemärkmeid. Tarnijad muudavad laienduste arhitektuuri väljalasete vahel ja uus filter võib saabuda rutiinse värskendusega. Kui teade järgnes uue võrgu ühendamisele, käsitlege ajastust tõendina ja kontrollige, mis muutus.

Pidage lühikest kirjet: profiili nimi, laienduse identifikaator, operaator, sertifikaadi sõrmejälg, kui see lisati, ja kuupäev. Järgmine inimene saab alustada sellest ajajoonest, mitte dialoogi sõnastusest.