Mac VPN iragazia edo monitorizatuaren abisua: zer baimendzen duen

Abisu hori baimen bat da, ez diagnosi bat. macOSek konfigurazio batek trafikoa iragaziko edo monitorizatuko duela dioenean, zuk onartutako osagai batek estaltzen duen bidea ikus dezakeela esaten dizu eta hori onargarria den galdetzen dizu. Elkarrizketa-koadroak ezin dizu esan nork kudeatzen duen osagaia, zer erregistratzen duen edo ezer deszifratzen duen. Erantzun horiek profilean, hedapenen zerrendan eta makinako ziurtagirietan daude, beraz hasi hortik esaldia berriz irakurri beharrean.

Irakurri abisua irismenari buruzko galdera gisa

Aktibazio-abisu bakoitzak bi gauzari egiten die erreferentzia, argi izendatu gabe: trafikoa kudeatuko duen hedapena eta trafikoa horretara bideratzen duen konfigurazioa. Oraingo macOSen osagai horiek NetworkExtension sistemaren hedapenak dira, eta bat instalatu edo aktibatzeko Sistemaren Ezarpenean onarpena behar da. Idazkerak zabal jarraitzen du, sistema eragileak ezin duelako jakin onartzen duena IT saila, harpidetza VPN bat edo beste zerbaitekin datorren iragazte-agente bat den.

Hori dela eta, testu berak hiru antolamendu desberdin hartzen ditu. Kudeatutako Mac batek gailu-kudeaketaren profila jasotzen du, Mac pertsonalak instalatu zenuen aplikazio baten konfigurazioa jasotzen du, eta segurtasun-produktu batek inoiz VPN gisa aurkezten ez den iragazki bat instala dezake. Etiketa horietako inork ez du asmoa erabakitzen. Lehenik zein alderi galdetu adierazten dute soilik.

Bi komandok azkar bereizten dituzte kasu horiek. Lehenak instalatutako sistema-hedapenak zerrendatzen ditu eta bakoitza aktibo dagoen, bigarrenak konfigurazio-profilak beren edukiekin eta sinatu zituzten erakundearekin.

systemextensionsctl list
profiles show -type configuration

Bereizi tunela iragazkitik

Pakete-tunel batek bidea ematen dio Macari eta bideratze-taulak bertara bidaltzen duen guztia garraiatzen du. Eduki-iragazki bat fluxu mailan kokatzen da, konexio bakoitza ikusten du eta baimendu, blokeatu edo birbidera dezake. Produktu batek biak aldi berean eskain ditzake, eta abisuak ez du aldatzen hori egiten duenean. Aldea garrantzitsua da bildu dezakezun froga eta ikusiko dituzun hutsak desberdinak direlako.

Egiaztatu hedapenaren kategoria, ez merkataritza-izena. Tunela normalean VPN konfigurazio gisa eta sare-hedapen gisa agertzen da, iragazkiak, berriz, VPN zerbitzurik ere ez izan dezake. Produktuak bi moduak eskaintzen baditu, konfigurazio aktiboak bat aukeratzen du, eta modua aldatzeak estalitakoa alda dezake hornitzailea aldatu gabe.

VPN zerbitzuen zerrenda da tunel bat badagoen ikusteko biderik azkarrena. VPN ez den iragazki bat ez da bertan agertuko, eta hori bera informazio erabilgarria da.

scutil --nc list

Konektatuta ikurra ez da estalduraren froga. Aplikazioak aplikazio bakoitzeko arauekin bazter daitezke, eta sare lokaletarako trafikoak askotan diseinuz saihesten du tunela. Aplikazio bat gainbegiratu gabe balego bezala jokatzen duenean, susma ezazu bide bat edo bazterketa bat monitorea hondatuta dagoela pentsatu aurretik.

Zer ikasten duen operadoreak edukia irakurri gabe

Metadatuak ez dira kontsolazio-sari bat. Helbideak, atakak, DNS izenak, konexio-orduak, byte zenbaketak eta autentifikatu zen identitatea bideko osagaiarentzat ikusgai daude. Ostalari berberera ordu berean egindako bisita errepikatuek errutina bat eraikitzen dute, eta errutinak orrialde batek baino gehiago esan dezake.

Hori da ohiko galderari emandako erantzun zintzoa. Operadoreak non eta noiz ikus dezake, edukia zigilatuta geratzen denean ere.

Edukiaren ikusgaitasunak bigarren aldaketa bat behar du, ozenagoa. Behar bezala baliozkotutako HTTPS saio bat opakua izaten jarraitzen du tunel edo fluxu-iragazki batentzat, eta berdin gertatzen da fitxategi lokalekin eta inoiz estalitako bidean sartzen ez den trafikoarekin. Orriaren gorputzak irakurtzeko Macak jadanik fidatzen duen ziurtagiri-agintaritza bat behar da, hau da, bere onarpenarekin instalatutako atzemate-ziurtagiri bat. Urrats horrek muga metadatuetatik edukira eramaten du eta berrikuspen bereizia merezi du.

Irismena gailuan ere gelditzen da. Ordenagailu eramangarri bateko tunelak ez du inor estaltzen Wi-Fi berean dagoen telefono, tableta edo beste norbaiten makina bat, eta bezero korporatibo batek ezin ditu kafetegiko beste bezeroak inbentariatu. Gailu-kudeaketarako softwareak tunelak agerian uzten duena baino gehiago bil dezake, baina politika-jabe desberdina duen kontrol bereizia da.

Ikuskatu ziurtagiri-biltegia izutu aurretik

Konfiantzazko erro bat da trafikoa ikustearen eta irakurtzearen arteko aldea. Ikuskatu sistemaren giltza-sorta ezagutzen ez dituzun agintaritzak bilatzeko, eta idatzi abisuaren inguruan agertu zirenak. Kudeatutako Mac batek legez eraman dezake enpresaburuak bultzatutako ikuskapen-erro bat, eta orduan administradorearekin da elkarrizketa. Istripuz bat eskuratu duen Mac pertsonalak jardutea merezi duen aurkikuntza du. Idatzi izen arrunta, jaulkitzailea eta gehitze-data, geroago galderari erantzun ahal izateko.

Konparatu zerrenda hori gailu-kudeaketak jakinarazten duenarekin. Profilen zerrendak eta ziurtagirien zerrendak bat ez badatoz, ziurtagirien zerrendak erabakitzen du Macak zer onartuko duen.

Bi komandok betetzen dute egiaztapenaren zatirik handiena. Lehenak konfigurazio-profilak inprimatzen ditu; bigarrenak administratzaileak kudeatutako sistema-giltza-sortako ziurtagiriak inprimatzen ditu, eta normalean han amaitzen du gehitutako erroak.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Apple-ren erro estandarrak giltza-sorta bereizi batean bizi dira eta ez dira kezka hemen. Bigarren komandotik emaitza hutsa ohikoa da Mac pertsonalean. Emaitza beteak subjektuz subjektu irakurtzea merezi du, baztertu aurretik.

Erabaki, eta gero idatzi zergatik

Onarpena zentzuzkoa da operadoreari, osagaiari eta arrazoiari izena eman diezaiekezunean, eta eskaerak zuk edo zure erakundeak egindako hautapen batekin bat egiten duenean. Ikerketa da erantzun egokia abisua testuingururik gabe iristen denean, batez ere sare-aldaketaren edo erlaziorik gabeko instalazio baten ondoren. Deskonektatu lehenik, jaso profilaren identifikatzailea eta hedapena, eta gero erabaki. Kentzea hirugarren bidea da, eta aurreko bideratzea leheneratzen du kontua ukitu gabe.

Tratatu adostasuna eta kentzea une desberdinetan hartutako erabaki bereizi gisa. Iragazki bat gaur onartzeak ez zaitu behartzen hura mantentzera, eta profil bat kentzeak ez ditu ezabatzen zerbitzariaren erregistroak aktibo egon zen bitartean behatutakoari buruz.

Abisua jadanik erabiltzen duzun software baten eguneraketaren ondoren iritsi bada, irakurri bertsio horren oharrak klik egin aurretik. Hornitzaileek hedapenen arkitektura aldatzen dute bertsioen artean, eta iragazki berri bat errutina-eguneraketa batekin irits daiteke. Abisua sare berri batera konektatu ondoren iritsi bada, tratatu unea froga gisa eta ikuskatu zer aldatu den.

Edu erregistro labur bat: profilaren izena, hedapenaren identifikatzailea, operadorea, ziurtagiriaren hatz-marka gehitu bazen, eta data. Hurrengo pertsonak kronologia horretatik has dezake elkarrizketa-koadro baten idazketatik beharrean.