फ़िल्टर या निगरानी वाले Mac VPN की चेतावनी: यह क्या अनुमति देती है
macOS की सूचना इस बारे में सहमति का अनुरोध है कि ढके हुए मार्ग पर ऑपरेटर क्या जाँच सकता है, न कि मैलवेयर पर फैसला और न ही इस बात का सबूत कि आपका ट्रैफ़िक डिक्रिप्ट होता है।
वह चेतावनी एक अनुमति है, निदान नहीं। जब macOS कहता है कि कोई कॉन्फ़िगरेशन ट्रैफ़िक को फ़िल्टर या निगरानी करेगा, तो वह आपको बताता है कि आपके द्वारा मंज़ूर किया गया घटक उसके तहत आने वाले मार्ग को देख सकता है, और पूछता है कि क्या यह स्वीकार्य है। संवाद आपको यह नहीं बता सकता कि घटक कौन चलाता है, क्या दर्ज करता है, या कुछ डिक्रिप्ट करता है या नहीं। ये उत्तर प्रोफ़ाइल, एक्सटेंशन सूची और मशीन के प्रमाणपत्रों में हैं, इसलिए वाक्य दोबारा पढ़ने के बजाय वहीं से शुरू करें।
सूचना को दायरे का सवाल समझें
हर सक्रियण सूचना दो चीज़ों की ओर इशारा करती है, उन्हें स्पष्ट नाम दिए बिना: वह एक्सटेंशन जो ट्रैफ़िक संभालेगा और वह कॉन्फ़िगरेशन जो ट्रैफ़िक को उसमें भेजता है। मौजूदा macOS में ये घटक NetworkExtension सिस्टम एक्सटेंशन हैं, और इनमें से किसी को इंस्टॉल या सक्रिय करने के लिए सिस्टम सेटिंग्स में मंज़ूरी चाहिए। शब्दावली व्यापक रहती है क्योंकि ऑपरेटिंग सिस्टम यह नहीं जान सकता कि मंज़ूरी देने वाला कोई आईटी विभाग, सदस्यता वाला VPN या किसी और चीज़ के साथ आने वाला फ़िल्टरिंग एजेंट है।
इसलिए एक ही पाठ तीन अलग व्यवस्थाओं को कवर करता है। प्रबंधित Mac को डिवाइस प्रबंधन से प्रोफ़ाइल मिलती है, निजी Mac को आपके द्वारा इंस्टॉल किए गए ऐप से कॉन्फ़िगरेशन मिलता है, और कोई सुरक्षा उत्पाद ऐसा फ़िल्टर इंस्टॉल कर सकता है जो खुद को कभी VPN के रूप में पेश नहीं करता। इनमें से कोई लेबल मंशा तय नहीं करता। वे केवल बताते हैं कि पहले किस पक्ष से पूछें।
दो कमांड इन मामलों को जल्दी अलग करते हैं। पहला इंस्टॉल किए गए सिस्टम एक्सटेंशन और हर एक के सक्रिय होने की सूची देता है, दूसरा कॉन्फ़िगरेशन प्रोफ़ाइल उनके पेलोड और हस्ताक्षर करने वाले संगठन के साथ सूचीबद्ध करता है।
systemextensionsctl list
profiles show -type configurationटनल और फ़िल्टर में फ़र्क करें
पैकेट टनल Mac को एक मार्ग देता है और रूटिंग तालिका जो भी उसमें भेजती है वह सब ले जाता है। सामग्री फ़िल्टर प्रवाह स्तर पर बैठता है, हर कनेक्शन देखता है, और उसे अनुमति, अवरोध या पुनर्निर्देशित कर सकता है। कोई उत्पाद दोनों एक साथ दे सकता है, और तब चेतावनी नहीं बदलती। अंतर मायने रखता है क्योंकि आप जो सबूत जुटा सकते हैं और जो विफलताएँ देखेंगे वे अलग हैं।
विपणन नाम नहीं, एक्सटेंशन की श्रेणी जाँचें। टनल आम तौर पर VPN कॉन्फ़िगरेशन और नेटवर्क एक्सटेंशन के रूप में दिखता है, जबकि फ़िल्टर के पास VPN सेवा बिल्कुल न हो सकती है। अगर उत्पाद दोनों मोड देता है, तो सक्रिय कॉन्फ़िगरेशन एक चुनता है, और मोड बदलने से विक्रेता बदले बिना कवरेज बदल सकती है।
VPN सेवाओं की सूची यह देखने का सबसे तेज़ तरीका है कि टनल मौजूद है या नहीं। जो फ़िल्टर VPN नहीं है वह उसमें नहीं दिखेगा, और यह अपने आप में उपयोगी जानकारी है।
scutil --nc listकनेक्टेड बैज कवरेज का सबूत नहीं है। ऐप्स को प्रति-ऐप नियमों से बाहर रखा जा सकता है, और स्थानीय नेटवर्क की ओर ट्रैफ़िक अक्सर डिज़ाइन के अनुसार टनल को बचा लेता है. जब कोई ऐप ऐसे व्यवहार करे जैसे उस पर निगरानी न हो, तो मॉनिटर के खराब होने का अनुमान लगाने से पहले मार्ग या बहिष्करण पर संदेह करें।
ऑपरेटर पेलोड पढ़े बिना क्या जानता है
मेटाडेटा सांत्वना पुरस्कार नहीं है। पते, पोर्ट, DNS नाम, कनेक्शन के समय, बाइट गणना और प्रमाणित पहचान सब मार्ग पर मौजूद घटक को दिखती है। एक ही मेज़बान पर एक ही घंटे में बार-बार जाना दिनचर्या बनाता है, और दिनचर्या एक पृष्ठ से अधिक बता सकती है।
सामान्य सवाल का ईमानदार जवाब यही है। ऑपरेटर देख सकता है कहाँ और कब, तब भी जब सामग्री सीलबंद रहे।
पेलोड की दृश्यता के लिए दूसरा, अधिक ज़ोरदार बदलाव चाहिए। ठीक से सत्यापित HTTPS सत्र टनल या प्रवाह फ़िल्टर के लिए अपारदर्शी रहता है, और स्थानीय फ़ाइलें तथा वह ट्रैफ़िक भी जो कभी ढके मार्ग पर नहीं आता। पृष्ठों का मुख्य भाग पढ़ने के लिए ऐसा प्रमाणपत्र प्राधिकरण चाहिए जिस पर Mac पहले से भरोसा करता है, यानी अपनी मंज़ूरी के साथ इंस्टॉल किया गया अवरोधन प्रमाणपत्र। वह कदम सीमा को मेटाडेटा से सामग्री की ओर ले जाता है और अलग समीक्षा का हक़दार है।
दायरा डिवाइस पर भी रुकता है। एक लैपटॉप की टनल उसी Wi-Fi पर मौजूद फ़ोन, टैबलेट या किसी और की मशीन को कवर नहीं करती, और कोई कॉर्पोरेट क्लाइंट कैफ़े के बाकी ग्राहकों की सूची नहीं बना सकता। डिवाइस प्रबंधन सॉफ़्टवेयर टनल के खुलासे से अधिक जुटा सकता है, लेकिन वह अलग नीति-स्वामी वाला अलग नियंत्रण है।
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
घबराने से पहले प्रमाणपत्र भंडार जाँचें
विश्वसनीय मूल वह अंतर है जो ट्रैफ़िक देखने और उसे पढ़ने के बीच है। सिस्टम कीचेन में ऐसे प्राधिकरण खोजें जिन्हें आप नहीं पहचानते, और जो सूचना के समय के आसपास दिखे उन्हें नोट करें। प्रबंधित Mac नियोक्ता द्वारा भेजा गया निरीक्षण मूल वैध रूप से रख सकता है, और तब बात प्रशासक के साथ होती है। जिस निजी Mac को गलती से एक मिल गया है, उसके पास कार्रवाई योग्य निष्कर्ष है। सामान्य नाम, जारीकर्ता और जोड़ने की तारीख लिखें ताकि सवाल का जवाब बाद में दिया जा सके।
उस सूची की तुलना डिवाइस प्रबंधन के बताए से करें। अगर प्रोफ़ाइल सूची और प्रमाणपत्र सूची मेल नहीं खातीं, तो Mac क्या स्वीकार करेगा यह प्रमाणपत्र सूची तय करती है।
दो कमांड जाँच का अधिकांश हिस्सा कवर करते हैं। पहला कॉन्फ़िगरेशन प्रोफ़ाइल छापता है; दूसरा प्रशासक द्वारा प्रबंधित सिस्टम कीचेन के प्रमाणपत्र छापता है, जहाँ जोड़ा गया मूल आम तौर पर पहुँचता है।
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainApple के मानक मूल अलग कीचेन में रहते हैं और यहाँ चिंता का विषय नहीं हैं। दूसरे कमांड से खाली परिणाम निजी Mac पर सामान्य है। भरा हुआ परिणाम खारिज करने से पहले विषय-दर-विषय पढ़ने योग्य है।
फैसला करें, फिर कारण लिखें
मंज़ूरी तब उचित है जब आप ऑपरेटर, घटक और कारण का नाम बता सकें, और जब अनुरोध उस चुनाव से मेल खाए जो आपने या आपके संगठन ने किया। जाँच तब सही प्रतिक्रिया है जब सूचना बिना संदर्भ आए, विशेषकर नेटवर्क बदलने या असंबंधित इंस्टॉल के बाद। पहले डिस्कनेक्ट करें, प्रोफ़ाइल पहचानकर्ता और एक्सटेंशन दर्ज करें, फिर फैसला लें। हटाना तीसरा रास्ता है, और यह खाते को छुए बिना पुरानी रूटिंग बहाल करता है।
सहमति और हटाने को अलग-अलग समय पर लिए गए अलग फैसले मानें। आज फ़िल्टर मंज़ूर करने से आप उसे रखने के लिए बाध्य नहीं होते, और प्रोफ़ाइल हटाने से सर्वर-पक्ष के वे रिकॉर्ड नहीं मिटते जो उसके सक्रिय रहते देखे गए थे।
अगर सूचना उस सॉफ़्टवेयर के अपडेट के बाद आई है जिसे आप पहले से चलाते हैं, तो क्लिक करने से पहले उस संस्करण के रिलीज़ नोट पढ़ें। विक्रेता संस्करणों के बीच एक्सटेंशन आर्किटेक्चर सचमुच बदलते हैं, और नया फ़िल्टर नियमित अपडेट के साथ आ सकता है। अगर सूचना नए नेटवर्क से जुड़ने के बाद आई है, तो समय को सबूत मानें और जाँचें कि क्या बदला।
छोटा रिकॉर्ड रखें: प्रोफ़ाइल नाम, एक्सटेंशन पहचानकर्ता, ऑपरेटर, जोड़ा गया हो तो प्रमाणपत्र की फ़िंगरप्रिंट, और तारीख। अगला व्यक्ति संवाद की शब्दावली के बजाय उसी समयरेखा से शुरू कर सकता है।