Warskôging oer filtere of bewarre Mac-VPN: wat it tastiet
De macOS-melding is in tastimmingsfersyk oer wat de operator op it dekte paad ynsjen kin, gjin oardiel oer malware en gjin bewiis dat jo ferkear ûntsifere wurdt.
Dy warskôging is in tastimming, gjin diagnoaze. As macOS seit dat in konfiguraasje ferkear filteret of bewarret, dan fertelt it jo dat in komponint dy't jo goedkard hawwe it paad sjocht dat it dekt, en freget oft dat akseptabel is. De dialooch kin jo net fertelle wa't it komponint beheart, wat it fêstleit of oft it eat ûntsiferet. Dy antwurden steane yn it profyl, de list fan taheaksels en de sertifikaten op 'e masine, dus begjin dêr yn stee fan de sin opnij te lêzen.
Lês de melding as in fraach oer omfang
Elke aktivearringsnotysje wiist nei twa dingen sûnder se dúdlik te neamen: it taheaksel dat ferkear behannelt en de konfiguraasje dy't ferkear dêrhinne liedt. Op hjoeddeistige macOS binne dizze komponinten NetworkExtension-systeemtaheaksels, en it ynstallearjen of aktivearjen fan ien freget goedkarring yn Systeemynstellingen. De formulearring bliuwt breed om't it bestjoeringssysteem net witte kin oft de goedkarmer in IT-ôfdieling, in abonnemint-VPN of in filteragint by eat oars is.
Dêrom beslacht deselde tekst trije ferskillende regelingen. In beheard Mac krijt in profyl fan apparaatbehear, in persoanlike Mac krijt in konfiguraasje fan in app dy't jo ynstallearre hawwe, en in befeiligingsprodukt kin in filter ynstallearje dat himsels nea as VPN presintearret. Gjin fan dy labels beslút de bedoeling. Se sizze allinne hokker partij jo earst freegje moatte.
Twa opdrachten skiede dy gefallen fluch. De earste listet ynstallearre systeemtaheaksels en oft elk aktyf is, en de twadde listet konfiguraasjeprofylen mei har ladingen en de ûndertekenjende organisaasje.
systemextensionsctl list
profiles show -type configurationSkied in tunnel fan in filter
In pakkettunnel jout de Mac in rûte en draacht alles wat de rûteringstabel derhinne stjoert. In ynhâldsfilter sit op streamnivo, sjocht elke ferbining en kin dy tastean, blokkearje of omliede. In produkt kin beide tagelyk leverje, en de warskôging feroaret net as it dat docht. It ferskil is wichtich om't it bewiis dat jo sammelje kinne en de steuringen dy't jo sjen sille ferskille.
Kontrolearje de kategory fan it taheaksel, net de marketingnamme. In tunnel ferskynt meastentiids as in VPN-konfiguraasje en as in netwurktaheaksel, wylst in filter hielendal gjin VPN-tsjinst hawwe kin. As it produkt beide modi biedt, kiest de aktive konfiguraasje ien, en it wikseljen fan modus kin feroarje wat dekt is sûnder de leveransier te feroarjen.
De list fan VPN-tsjinsten is de fluchste manier om te sjen oft der in tunnel is. In filter dat gjin VPN is, sil dêr net yn ferskine, wat sels nuttige ynformaasje is.
scutil --nc listIn ferbûnd-label is gjin bewiis fan dekking. Apps kinne útsletten wurde troch regels per app, en ferkear nei lokale netwurken giet faaks by ûntwerp om 'e tunnel hinne. As ien applikaasje him hâldt as wie it net bewarre, fertink dan in rûte of in útsluting foardat jo oannimme dat de monitor stikken is.
Wat de operator leart sûnder ladingen te lêzen
Metadaten binne gjin treastpriis. Adressen, poarten, DNS-nammen, ferbiningsstiden, byte-tellingen en de identiteit dy't autentisearre is, binne allegear sichtber foar it komponint op it paad. Werhelle besites oan ien host op itselde oere bouwe in routine, en in routine kin mear sizze as ien side.
Dat is it earlike antwurd op de gewoane fraach. De operator kin sjen wêr en wannear, sels as de ynhâld fersegele bliuwt.
Sichtberens fan ladingen freget in twadde, lûder feroaring. In goed falidearre HTTPS-sesje bliuwt ûntrochsichtich foar in tunnel of streamfilter, en sa ek lokale bestannen en ferkear dat nea it dekte paad ynkomt. It lêzen fan side-ynhâld freget in sertifikaatautoriteit dy't de Mac al fertrout, dus in ûnderskeppingssertifikaat dat mei eigen goedkarring ynstallearre is. Dy stap ferpleatst de grins fan metadaten nei ynhâld en fertsjinnet apart ûndersyk.
It omfang hâldt ek op by it apparaat. In tunnel op ien laptop dekt gjin tillefoan, tablet of in oar syn masine op itselde Wi-Fi, en in bedriuwsclient kin de oare gasten fan it kafee net ynventarisearje. Apparaatbehearsoftware kin mear sammelje as de tunnel bleatleit, mar dat is in aparte kontrôle mei in oare beliedseigner.
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
Undersykje it sertifikaatargyf foardat jo yn paniek reitsje
In fertroude woartel is it ferskil tusken ferkear sjen en it lêzen. Undersykje de systeemkaaibondel op autoriteiten dy't jo net werkennen, en notearje dy't om 'e tiid fan 'e melding ferskynden. In beheard Mac kin legit in ynspeksje-woartel drage dy't de wurkjouwer pleatst hat, en dan heart it petear by de behearder. In persoanlike Mac dy't ien by ûngelok kriget, hat in befinning dy't aksje fertsjinnet. Notearje de gewoane namme, de útjouwer en de datum fan tafoeging, sadat de fraach letter beantwurde wurde kin.
Fergelykje dy list mei wat apparaatbehear rapportearret. As de profyllist en de sertifikaatlist net oerienkomme, dan beslút de sertifikaatlist wat de Mac akseptearje sil.
Twa opdrachten dekke it grutste part fan 'e kontrôle. De earste printsje konfiguraasjeprofylen; de twadde printsje sertifikaten yn 'e troch de behearder behearde systeemkaaibondel, dêr't in tafoege woartel meastentiids belânet.
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainStandert Apple-woartels libje yn in aparte kaaibondel en binne hjir net de soarch. In leech resultaat fan 'e twadde opdracht is gewoan op in persoanlike Mac. In fol resultaat fertsjinnet in lêzing ûnderwerp foar ûnderwerp foardat jo it oan 'e kant sette.
Beslút, en skriuw dan op wêrom
Goedkarring is ridlik as jo de operator, it komponint en de reden neame kinne, en as it fersyk past by in kar dy't jo of jo organisaasje makke hat. Undersyk is it goede antwurd as de melding sûnder kontekst komt, fral nei in netwurkferoaring of in net-relatearre ynstallaasje. Ferbreek earst de ferbining, liz de profylidentifikaasje en it taheaksel fêst, en beslút dan. Fuortheljen is in tredde paad, en it herstelt de eardere rûtering sûnder it akkount oan te reitsjen.
Behannelje tastimming en fuortheljen as aparte besluten nommen op ferskillende tiden. In filter hjoed goedkarre ferplichtet jo net om it te hâlden, en it fuortheljen fan in profyl wisket de server-side records net fan wat waarnommen is wylst it aktyf wie.
As de melding folge is op in bywurking fan software dy't jo al brûke, lês dan de útjefte-notysjes fan dy ferzje foardat jo klikke. Leveransiers feroarje yndie taheaksel-arsjitektuer tusken útjeften, en in nij filter kin mei in routine-bywurking komme. As de melding folge is op in ferbining mei in nij netwurk, behannelje de tiid as bewiis en ûndersykje wat feroare is.
Hâld in koart record by: profylnamme, taheakselidentifikaasje, operator, sertifikaatfingerprint as ien tafoege is, en de datum. De folgjende persoan kin fan dy tiidline begjinne yn stee fan fan 'e formulearring fan in dialooch.