Aviso de VPN de Mac filtrada ou monitorizada: que permite
O aviso de macOS é unha solicitude de consentimento sobre o que o operador pode inspeccionar na ruta cuberta, non un veredicto de malware nin unha proba de que o seu tráfico se descifra.
Ese aviso é un permiso, non un diagnóstico. Cando macOS di que unha configuración filtrará ou monitorizará o tráfico, está a dicirlle que un compoñente que vostede aprobou pode ver a ruta que cobre e pregúntalle se iso é aceptable. O diálogo non pode dicirlle quen xestiona o compoñente, que rexistra nin se descifra algo. Esas respostas están no perfil, na lista de extensións e nos certificados do equipo, así que comece por aí en lugar de reler a frase.
Lea o aviso como unha pregunta de alcance
Cada aviso de activación sinala dúas cousas sen nomealas con claridade: a extensión que xestionará o tráfico e a configuración que dirixe o tráfico cara a ela. No macOS actual estes compoñentes son extensións de sistema NetworkExtension, e instalar ou activar unha require aprobación nos Axustes do Sistema. A redacción segue a ser ampla porque o sistema operativo non pode saber se quen aproba é un departamento de TI, unha VPN de subscrición ou un axente de filtrado incluído con outra cousa.
Por iso o mesmo texto cobre tres situacións distintas. Un Mac xestionado recibe un perfil da xestión de dispositivos, un Mac persoal recibe unha configuración dunha aplicación que instalou, e un produto de seguridade pode instalar un filtro que nunca se presenta como VPN. Ningunha desas etiquetas resolve a intención. Só lle din a que parte preguntar primeiro.
Dous comandos separan eses casos con rapidez. O primeiro lista as extensións de sistema instaladas e se cada unha está activa, e o segundo lista os perfís de configuración coas súas cargas e a organización asinante.
systemextensionsctl list
profiles show -type configurationDistinga un túnel dun filtro
Un túnel de paquetes dálle ao Mac unha ruta e transporta todo o que a táboa de encamiñamento lle envía. Un filtro de contido sitúase no nivel de fluxo, ve cada conexión e pode permitila, bloqueala ou redirixila. Un produto pode incluír ambos á vez, e o aviso non cambia cando o fai. A diferenza importa porque as probas que pode reunir e os fallos que verá son distintos.
Comprobe a categoría da extensión, non o nome comercial. Un túnel adoita aparecer como configuración de VPN e como extensión de rede, mentres que un filtro pode non ter ningún servizo de VPN. Se o produto ofrece ambos os modos, a configuración activa elixe un, e cambiar de modo pode cambiar o cuberto sen cambiar o provedor.
A lista de servizos de VPN é a forma máis rápida de ver se existe un túnel. Un filtro que non é unha VPN non aparecerá nela, o que xa é información útil.
scutil --nc listA insignia de conectado non é proba de cobertura. As aplicacións poden excluírse con regras por aplicación, e o tráfico cara a redes locais adoita evitar o túnel por deseño. Cando unha aplicación se comporta como se non estivese vixiada, sospeite dunha ruta ou dunha exclusión antes de supoñer que o monitor está roto.
Que aprende o operador sen ler as cargas
Os metadatos non son un premio de consolación. Os enderezos, os portos, os nomes DNS, os horarios de conexión, as contas de bytes e a identidade que se autenticou son visibles para o compoñente da ruta. As visitas repetidas a un mesmo host á mesma hora constrúen unha rutina, e unha rutina pode dicir máis que unha soa páxina.
Esa é a resposta honesta á pregunta habitual. O operador pode ver onde e cando, mesmo cando o contido permanece selado.
A visibilidade das cargas esixe un segundo cambio, máis contundente. Unha sesión HTTPS validada correctamente segue sendo opaca para un túnel ou un filtro de fluxo, e tamén o son os ficheiros locais e o tráfico que nunca entra na ruta cuberta. Ler os corpos das páxinas require unha autoridade de certificación na que o Mac xa confía, é dicir, un certificado de interceptación instalado coa súa propia aprobación. Ese paso move a fronteira dos metadatos ao contido e merece unha revisión aparte.
O alcance tamén remata no dispositivo. Un túnel nun portátil non cobre un teléfono, unha tableta nin o equipo doutra persoa na mesma Wi-Fi, e un cliente corporativo non pode inventariar os demais clientes da cafetería. O software de xestión de dispositivos pode recoller máis do que expón o túnel, pero é un control aparte con outro propietario da política.
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
Inspeccione o almacén de certificados antes de entrar en pánico
Unha raíz de confianza é a diferenza entre ver o tráfico e lelo. Inspeccione o chaveiro do sistema na procura de autoridades que non recoñeza e anote as que apareceron preto do momento do aviso. Un Mac xestionado pode levar lexitimamente unha raíz de inspección enviada pola empresa, e entón a conversación corresponde ao administrador. Un Mac persoal que adquiriu unha por accidente ten un achado que merece actuación. Anote o nome común, o emisor e a data de adición para que a pregunta poida responderse máis adiante.
Compare esa lista co que informa a xestión de dispositivos. Se a lista de perfís e a de certificados non coinciden, a de certificados é a que decide que aceptará o Mac.
Dous comandos cobren a maior parte da comprobación. O primeiro imprime os perfís de configuración; o segundo imprime os certificados do chaveiro do sistema xestionado polo administrador, que é onde adoita acabar unha raíz engadida.
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainAs raíces estándar de Apple viven nun chaveiro aparte e non son a preocupación aquí. Un resultado baleiro do segundo comando é habitual nun Mac persoal. Un resultado cheo merece unha lectura suxeito por suxeito antes de descartalo.
Decida e logo anote por que
A aprobación é razoable cando pode nomear o operador, o compoñente e o motivo, e cando a solicitude coincide cunha elección que vostede ou a súa organización fixeron. A investigación é a resposta correcta cando o aviso chega sen contexto, sobre todo tras un cambio de rede ou unha instalación non relacionada. Desconecte primeiro, capture o identificador do perfil e a extensión, e logo decida. A eliminación é unha terceira vía, e restaura o encamiñamento anterior sen tocar a conta.
Trate o consentimento e a eliminación como decisións separadas tomadas en momentos distintos. Aprobar un filtro hoxe non o obriga a conservalo, e eliminar un perfil non borra os rexistros do servidor sobre o que se observou mentres estaba activo.
Se o aviso chegou tras unha actualización dun software que xa utiliza, lea as notas da versión antes de facer clic. Os provedores si cambian a arquitectura das extensións entre versións, e un filtro novo pode chegar cunha actualización rutineira. Se o aviso chegou tras conectarse a unha rede nova, trate o momento como proba e inspeccione que cambiou.
Manteña un rexistro breve: nome do perfil, identificador da extensión, operador, impresión do certificado se se engadiu un, e a data. A seguinte persoa pode comezar por esa cronoloxía en lugar de pola redacción dun diálogo.