Varoitus suodatetusta tai valvotusta Mac VPN:stä: mitä se sallii

Varoitus on lupa, ei diagnoosi. Kun macOS kertoo, että kokoonpano suodattaa tai valvoo liikennettä, se kertoo, että hyväksymäsi komponentti näkee kattamansa reitin, ja kysyy, onko se hyväksyttävää. Valintaikkuna ei kerro, kuka komponenttia hallinnoi, mitä se tallentaa tai purkaako se salausta. Vastaukset ovat profiilissa, laajennusluettelossa ja koneen varmenteissa, joten aloita niistä sen sijaan, että lukisit lauseen uudelleen.

Lue ilmoitus kysymyksenä laajuudesta

Jokainen aktivointi-ilmoitus osoittaa kahteen asiaan nimeämättä niitä selvästi: laajennukseen, joka käsittelee liikennettä, ja kokoonpanoon, joka ohjaa liikennettä siihen. Nykyisessä macOS:ssä nämä komponentit ovat NetworkExtension-järjestelmälaajennuksia, ja yhden asentaminen tai aktivoiminen vaatii hyväksynnän järjestelmäasetuksissa. Sanamuoto pysyy laajana, koska käyttöjärjestelmä ei voi tietää, onko hyväksyjä IT-osasto, tilaus-VPN vai jonkin muun mukana tuleva suodatusagentti.

Siksi sama teksti kattaa kolme erilaista järjestelyä. Hallittu Mac saa profiilin laitehallinnasta, henkilökohtainen Mac saa kokoonpanon asentamastasi sovelluksesta, ja tietoturvatuote voi asentaa suodattimen, joka ei koskaan esittäydy VPN:nä. Mikään näistä nimikkeistä ei ratkaise tarkoitusta. Ne kertovat vain, keneltä kysyä ensin.

Kaksi komentoa erottaa nämä tapaukset nopeasti. Ensimmäinen luettelee asennetut järjestelmälaajennukset ja sen, onko kukin aktiivinen, ja toinen luettelee kokoonpanoprofiilit sisältöineen ja allekirjoittaneen organisaation.

systemextensionsctl list
profiles show -type configuration

Erota tunneli suodattimesta

Pakettitunneli antaa Macille reitin ja kuljettaa kaiken, mitä reititystaulu lähettää siihen. Sisältösuodatin istuu virtauksen tasolla, näkee jokaisen yhteyden ja voi sallia, estää tai ohjata sen uudelleen. Tuote voi toimittaa molemmat yhtä aikaa, eikä varoitus muutu, kun se tekee niin. Ero on tärkeä, koska kerättävissä olevat todisteet ja näkemäsi viat ovat erilaisia.

Tarkista laajennuksen luokka, ei markkinointinimi. Tunneli näkyy yleensä VPN-kokoonpanona ja verkkolaajennuksena, kun taas suodattimella ei ehkä ole lainkaan VPN-palvelua. Jos tuote tarjoaa molemmat tilat, aktiivinen kokoonpano valitsee yhden, ja tilan vaihto voi muuttaa katettua ilman toimittajan vaihtumista.

VPN-palvelujen luettelo on nopein tapa nähdä, onko tunnelia. Suodatin, joka ei ole VPN, ei näy siinä, mikä itsessään on hyödyllistä tietoa.

scutil --nc list

Yhdistetty-merkki ei ole todiste kattavuudesta. Sovelluksia voi sulkea pois sovelluskohtaisilla säännöillä, ja liikenne paikallisverkkoihin ohittaa tunnelin usein suunnittelun mukaan. Kun sovellus käyttäytyy kuin sitä ei valvottaisi, epäile reittiä tai poissulkemista ennen kuin oletat valvojan rikkoutuneen.

Mitä operaattori oppii lukematta sisältöä

Metatiedot eivät ole lohdutuspalkinto. Osoitteet, portit, DNS-nimet, yhteysajat, tavumäärät ja todennettu identiteetti ovat kaikki reitillä olevalle komponentille näkyvissä. Toistuvat käynnit samalla isännällä samaan aikaan rakentavat rutiinin, ja rutiini voi kertoa enemmän kuin yksittäinen sivu.

Se on rehellinen vastaus tavalliseen kysymykseen. Operaattori näkee missä ja milloin, vaikka sisältö pysyy sinetöitynä.

Sisällön näkyvyys vaatii toisen, äänekkäämmän muutoksen. Asianmukaisesti validoitu HTTPS-istunto pysyy läpinäkymättömänä tunnelille tai virtaussuodattimelle, samoin paikalliset tiedostot ja liikenne, joka ei koskaan saavu katetulle reitille. Sivujen runkojen lukeminen vaatii varmentajan, johon Mac jo luottaa, eli sieppausvarmenteen, joka on asennettu omalla hyväksynnällään. Tämä askel siirtää rajan metatiedoista sisältöön ja ansaitsee erillisen tarkastelun.

Laajuus pysähtyy myös laitteeseen. Yhden kannettavan tunneli ei kata puhelinta, tablettia tai toisen ihmisen konetta samassa Wi-Fi-verkossa, eikä yritysasiakas voi luetteloida kahvilan muita asiakkaita. Laitehallintaohjelmisto voi kerätä enemmän kuin tunneli paljastaa, mutta se on erillinen valvonta, jolla on eri käytännön omistaja.

Tarkasta varmennevarasto ennen kuin panikoit

Luotettu juuri on ero liikenteen näkemisen ja sen lukemisen välillä. Tarkasta järjestelmän avainnippu valtuuksista, joita et tunnista, ja merkitse ne, jotka ilmestyivät ilmoituksen aikaan. Hallittu Mac voi laillisesti kantaa työnantajan työntämää tarkastusjuurta, ja silloin keskustelu kuuluu ylläpitäjälle. Henkilökohtainen Mac, joka sai sellaisen vahingossa, on löydös, joka kannattaa käsitellä. Kirjaa yleinen nimi, myöntäjä ja lisäyspäivä, jotta kysymykseen voidaan vastata myöhemmin.

Vertaa luetteloa siihen, mitä laitehallinta raportoi. Jos profiililuettelo ja varmenneluettelo ovat ristiriidassa, varmenneluettelo ratkaisee, mitä Mac hyväksyy.

Kaksi komentoa kattaa suurimman osan tarkastuksesta. Ensimmäinen tulostaa kokoonpanoprofiilit, toinen tulostaa varmenteet ylläpitäjän hallitsemassa järjestelmän avainnipussa, jonne lisätty juuri yleensä päätyy.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Applen vakiojuuret elävät erillisessä avainnipussa eivätkä ole tässä huolenaihe. Toisen komennon tyhjä tulos on tavallinen henkilökohtaisessa Macissa. Täysi tulos ansaitsee kohdekohtaisen luennan ennen kuin sen hylkäät.

Päätä ja kirjoita sitten muistiin miksi

Hyväksyntä on järkevää, kun voit nimetä operaattorin, komponentin ja syyn, ja kun pyyntö vastaa sinun tai organisaatiosi tekemää valintaa. Tutkinta on oikea vastaus, kun ilmoitus tulee ilman kontekstia, erityisesti verkkomuutoksen tai asiattoman asennuksen jälkeen. Katkaise yhteys ensin, tallenna profiilin tunniste ja laajennus, päätä sitten. Poistaminen on kolmas tie, ja se palauttaa aiemman reitityksen koskematta tiliin.

Kohtele suostumusta ja poistamista erillisinä päätöksinä, jotka tehdään eri aikoina. Suodattimen hyväksyminen tänään ei velvoita sinua pitämään sitä, eikä profiilin poistaminen pyyhi palvelimen tallenteita siitä, mitä havaittiin sen ollessa aktiivinen.

Jos ilmoitus seurasi jo käyttämäsi ohjelmiston päivitystä, lue kyseisen version julkaisutiedot ennen klikkausta. Toimittajat todella muuttavat laajennusarkkitehtuuria julkaisujen välillä, ja uusi suodatin voi saapua rutiinipäivityksen mukana. Jos ilmoitus seurasi uuteen verkkoon liittymistä, pidä ajankohtaa todisteena ja tarkasta, mikä muuttui.

Pidä lyhyt kirjaus: profiilin nimi, laajennuksen tunniste, operaattori, varmenteen sormenjälki jos sellainen lisättiin, ja päiväys. Seuraava henkilö voi aloittaa aikajanasta eikä valintaikkunan sanamuodosta.