هشدار VPN فیلترشده یا پایش‌شدهٔ مک: چه چیزی را مجاز می‌کند
اعلان macOS درخواست رضایتی است دربارهٔ اینکه بهره‌بردار روی مسیر پوشش‌داده‌شده چه چیزی را می‌تواند بررسی کند، نه حکمی دربارهٔ بدافزار و نه شاهدی بر رمزگشایی ترافیک شما.
آن هشدار یک برگهٔ اجازه است، نه تشخیص. وقتی macOS می‌گوید تنظیمی ترافیک را فیلتر یا پایش می‌کند، به شما می‌گوید که مؤلفه‌ای مورد تأیید شما می‌تواند مسیری را که پوشش می‌دهد ببیند و می‌پرسد آیا این پذیرفتنی است. کادر گفت‌وگو نمی‌تواند بگوید چه کسی مؤلفه را اداره می‌کند، چه چیزی ثبت می‌کند یا آیا چیزی را رمزگشایی می‌کند. این پاسخ‌ها در نمایه، فهرست افزونه‌ها و گواهی‌های روی دستگاه است، پس از آنجا شروع کنید نه از بازخوانی جمله.
اعلان را پرسشی دربارهٔ دامنه بخوانید
هر اعلان فعال‌سازی به دو چیز اشاره می‌کند بدون آنکه روشن نامشان ببرد: افزونه‌ای که ترافیک را پردازش می‌کند و تنظیمی که ترافیک را به آن هدایت می‌کند. در macOS کنونی این مؤلفه‌ها افزونه‌های سیستمی NetworkExtension هستند و نصب یا فعال‌سازی یکی از آن‌ها به تأیید در تنظیمات سیستم نیاز دارد. عبارت‌پردازی گسترده می‌ماند چون سیستم‌عامل نمی‌تواند بداند تأییدکننده یک بخش فناوری اطلاعات است، یک VPN اشتراکی یا عاملی فیلترکننده که همراه چیز دیگری می‌آید.
به همین دلیل همان متن سه چیدمان متفاوت را پوشش می‌دهد. مک مدیریت‌شده نمایه را از مدیریت دستگاه می‌گیرد، مک شخصی تنظیم را از برنامه‌ای که نصب کرده‌اید می‌گیرد، و یک محصول امنیتی می‌تواند فیلتری نصب کند که هرگز خود را VPN معرفی نمی‌کند. هیچ‌یک از این برچسب‌ها نیت را روشن نمی‌کند. فقط می‌گویند نخست از کدام طرف بپرسید.
دو فرمان این موارد را به‌سرعت جدا می‌کنند. اولی افزونه‌های سیستمی نصب‌شده و فعال بودن هر یک را فهرست می‌کند و دومی نمایه‌های تنظیم را همراه محتوا و سازمان امضاکننده نشان می‌دهد.
systemextensionsctl list
profiles show -type configurationتونل را از فیلتر جدا کنید
تونل بسته به مک مسیر می‌دهد و هر چیزی را که جدول مسیریابی به آن می‌فرستد حمل می‌کند. فیلتر محتوا در سطح جریان می‌نشیند، هر اتصال را می‌بیند و می‌تواند آن را مجاز کند، مسدود کند یا تغییر مسیر دهد. یک محصول می‌تواند هر دو را هم‌زمان عرضه کند و هشدار در آن حالت تغییر نمی‌کند. تفاوت مهم است چون شواهدی که می‌توانید گردآوری کنید و خرابی‌هایی که خواهید دید متفاوت‌اند.
دستهٔ افزونه را بررسی کنید نه نام بازاریابی را. تونل معمولاً به شکل تنظیم VPN و افزونهٔ شبکه ظاهر می‌شود، در حالی که فیلتر ممکن است هیچ سرویس VPN نداشته باشد. اگر محصول هر دو حالت را عرضه کند، تنظیم فعال یکی را برمی‌گزیند و تغییر حالت می‌تواند پوشش را بدون تغییر فروشنده عوض کند.
فهرست سرویس‌های VPN سریع‌ترین راه برای دیدن وجود تونل است. فیلتری که VPN نیست در آن ظاهر نمی‌شود و این خودش اطلاعات مفیدی است.
scutil --nc listنشان اتصال شاهد پوشش نیست. برنامه‌ها را می‌توان با قواعد هر برنامه کنار گذاشت و ترافیک به شبکه‌های محلی غالباً طبق طراحی از تونل دور می‌زند. وقتی یک برنامه طوری رفتار می‌کند که گویی پایش نمی‌شود، پیش از آنکه پایشگر را خراب بدانید به مسیر یا استثنا شک کنید.
آنچه بهره‌بردار بدون خواندن محتوا می‌آموزد
فراداده جایزهٔ دلخوشی نیست. نشانی‌ها، درگاه‌ها، نام‌های DNS، زمان اتصال، شمار بایت‌ها و هویتی که احراز شده است همه برای مؤلفهٔ روی مسیر دیدنی‌اند. بازدیدهای تکرارشده از یک میزبان در یک ساعت روتین می‌سازد و روتین می‌تواند بیش از یک صفحه بگوید.
این پاسخ صادقانه به پرسش معمول است. بهره‌بردار می‌تواند ببیند کجا و چه وقت، حتی وقتی محتوا مهروموم می‌ماند.
دیدِ محتوا به تغییر دوم و بلندتری نیاز دارد. نشست HTTPS که درست اعتبارسنجی شده در برابر تونل یا فیلتر جریان مات می‌ماند، و همچنین پرونده‌های محلی و ترافیکی که هرگز به مسیر پوشش‌داده‌شده وارد نمی‌شود. خواندن تنهٔ صفحه‌ها به مرجع صدور گواهی نیاز دارد که مک از پیش به آن اعتماد دارد، یعنی گواهی رهگیری که با تأیید خودش نصب شده است. آن گام مرز را از فراداده به محتوا می‌برد و بازبینی جداگانه می‌طلبد.
دامنه در دستگاه هم پایان می‌یابد. تونل روی یک لپ‌تاپ تلفن، تبلت یا دستگاه شخص دیگری در همان Wi-Fi را پوشش نمی‌دهد و کارخواه سازمانی نمی‌تواند دیگر مشتریان کافه را فهرست کند. نرم‌افزار مدیریت دستگاه می‌تواند بیش از آنچه تونل آشکار می‌کند گردآوری کند، اما آن کنترلی جداست با مالک سیاستی متفاوت.
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
پیش از وحشت‌زدن مخزن گواهی را بررسی کنید
ریشهٔ مورد اعتماد تفاوت میان دیدن ترافیک و خواندن آن است. زنجیرهٔ کلید سیستم را برای مرجع‌هایی که نمی‌شناسید بررسی کنید و هر کدام را که نزدیک زمان اعلان پدید آمده یادداشت کنید. مک مدیریت‌شده می‌تواند به‌طور مشروع ریشهٔ بازرسی را که کارفرما فرستاده حمل کند و آنگاه گفت‌وگو با مدیر است. مک شخصی که یکی را تصادفی به دست آورده یافته‌ای دارد که ارزش اقدام دارد. نام عمومی، صادرکننده و تاریخ افزودن را بنویسید تا پرسش بعداً پاسخ داده شود.
این فهرست را با آنچه مدیریت دستگاه گزارش می‌دهد مقایسه کنید. اگر فهرست نمایه‌ها و فهرست گواهی‌ها ناسازگار باشند، فهرست گواهی‌هاست که تعیین می‌کند مک چه چیزی را می‌پذیرد.
دو فرمان بیشتر بررسی را پوشش می‌دهند. اولی نمایه‌های تنظیم را چاپ می‌کند؛ دومی گواهی‌های زنجیرهٔ کلید سیستمی را که مدیر اداره می‌کند چاپ می‌کند، همان‌جا که ریشهٔ افزوده معمولاً فرود می‌آید.
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainریشه‌های استاندارد اپل در زنجیرهٔ کلید جداگانه زندگی می‌کنند و اینجا نگرانی نیستند. نتیجهٔ خالی از فرمان دوم روی مک شخصی رایج است. نتیجهٔ پرشده پیش از نادیده گرفتن شایستهٔ خواندن موضوع‌به‌موضوع است.
تصمیم بگیرید، سپس دلیل را بنویسید
تأیید معقول است وقتی می‌توانید بهره‌بردار، مؤلفه و دلیل را نام ببرید و درخواست با گزینه‌ای که شما یا سازمانتان کرده‌اید هم‌خوان باشد. بررسی واکنش درست است وقتی اعلان بدون زمینه می‌رسد، به‌ویژه پس از تغییر شبکه یا نصب نامرتبط. نخست اتصال را قطع کنید، شناسهٔ نمایه و افزونه را ثبت کنید و سپس تصمیم بگیرید. حذف راه سومی است و مسیریابی پیشین را بدون دست‌زدن به حساب بازمی‌گرداند.
رضایت و حذف را دو تصمیم جدا بدانید که در زمان‌های متفاوت گرفته می‌شوند. تأیید یک فیلتر امروز شما را به نگه‌داشتن آن متعهد نمی‌کند و حذف نمایه سوابق سمت سرور از آنچه هنگام فعال بودنش مشاهده شده را پاک نمی‌کند.
اگر اعلان پس از به‌روزرسانی نرم‌افزاری آمده که از قبل اجرا می‌کنید، پیش از کلیک یادداشت‌های انتشار آن نسخه را بخوانید. فروشندگان میان نسخه‌ها معماری افزونه را واقعاً تغییر می‌دهند و فیلتر تازه می‌تواند با به‌روزرسانی روتین برسد. اگر اعلان پس از پیوستن به شبکه‌ای تازه آمده، زمان را شاهد بگیرید و بررسی کنید چه چیزی تغییر کرده است.
ثبتی کوتاه نگه دارید: نام نمایه، شناسهٔ افزونه، بهره‌بردار، اثر انگشت گواهی اگر افزوده شده و تاریخ. نفر بعدی می‌تواند از این گاه‌شمار شروع کند نه از عبارت‌پردازی یک کادر گفت‌وگو.