Upozorenje o filtriranom ili nadziranom Mac VPN-u: šta ono dopušta

To upozorenje je dozvola, a ne dijagnoza. Kada macOS kaže da će konfiguracija filtrirati ili nadzirati saobraćaj, govori vam da komponenta koju ste odobrili vidi putanju koju pokriva i pita je li to prihvatljivo. Dijalog vam ne može reći ko upravlja komponentom, šta ona bilježi ili dešifruje li išta. Ti odgovori su u profilu, listi proširenja i certifikatima na mašini, pa počnite odatle umjesto da ponovo čitate rečenicu.

Čitajte obavještenje kao pitanje o obimu

Svako obavještenje o aktivaciji pokazuje na dvije stvari bez jasnog imenovanja: proširenje koje će obrađivati saobraćaj i konfiguraciju koja saobraćaj usmjerava u njega. Na aktuelnom macOS-u te komponente su sistemska proširenja NetworkExtension, a instalacija ili aktivacija jednog zahtijeva odobrenje u sistemskim postavkama. Formulacija ostaje široka jer operativni sistem ne može znati je li odobravalac IT odjel, pretplatnički VPN ili filtarski agent priložen uz nešto drugo.

Zato isti tekst pokriva tri različita uređenja. Upravljani Mac dobija profil od upravljanja uređajima, lični Mac dobija konfiguraciju od aplikacije koju ste instalirali, a sigurnosni proizvod može instalirati filter koji se nikada ne predstavlja kao VPN. Nijedna od tih oznaka ne rješava namjeru. One vam samo govore koju stranu prvo pitati.

Dvije komande brzo razdvajaju te slučajeve. Prva navodi instalirana sistemska proširenja i da li je svako aktivno, a druga navodi konfiguracijske profile s njihovim sadržajem i organizacijom koja ih potpisuje.

systemextensionsctl list
profiles show -type configuration

Razlikujte tunel od filtera

Paketni tunel daje Macu rutu i nosi sve što rutirajuća tabla pošalje u njega. Filter sadržaja stoji na nivou toka, vidi svaku vezu i može je dopustiti, blokirati ili preusmjeriti. Proizvod može isporučivati oboje odjednom i upozorenje se tada ne mijenja. Razlika je važna jer se dokazi koje možete prikupiti i kvarovi koje ćete vidjeti razlikuju.

Provjerite kategoriju proširenja, a ne marketinško ime. Tunel se obično pojavljuje kao VPN konfiguracija i kao mrežno proširenje, dok filter možda uopšte nema VPN uslugu. Ako proizvod nudi oba režima, aktivna konfiguracija bira jedan, a prebacivanje režima može promijeniti šta je pokriveno bez promjene dobavljača.

Lista VPN usluga najbrži je način da vidite postoji li tunel. Filter koji nije VPN neće se u njoj pojaviti, što je samo po sebi korisna informacija.

scutil --nc list

Oznaka „povezano“ nije dokaz pokrivenosti. Aplikacije se mogu izuzeti pravilima za svaku aplikaciju, a saobraćaj prema lokalnim mrežama često po dizajnu zaobilazi tunel. Kada se jedna aplikacija ponaša kao da je bez nadzora, posumnjajte u rutu ili izuzetak prije nego što pretpostavite da je monitor pokvaren.

Šta operater saznaje bez čitanja sadržaja

Metapodaci nisu utješna nagrada. Adrese, portovi, DNS imena, vremena veza, brojevi bajtova i identitet koji se autentificirao vidljivi su komponenti na putanji. Ponovljene posjete jednom hostu u isti sat grade rutinu, a rutina može reći više od jedne stranice.

To je iskren odgovor na uobičajeno pitanje. Operater vidi gdje i kada, čak i kada sadržaj ostaje zapečaćen.

Vidljivost sadržaja zahtijeva drugu, glasniju promjenu. Ispravno validirana HTTPS sesija ostaje neprozirna za tunel ili filterski tok, kao i lokalne datoteke i saobraćaj koji nikada ne ulazi na pokrivenu putanju. Čitanje tijela stranica zahtijeva certifikacijsko tijelo kojem Mac već vjeruje, što znači certifikat za presretanje instaliran uz vlastito odobrenje. Taj korak pomjera granicu s metapodataka na sadržaj i zaslužuje posebnu pažnju.

Obim se takođe zaustavlja na uređaju. Tunel na jednom laptopu ne pokriva telefon, tablet ili mašinu druge osobe na istoj Wi-Fi mreži, a korporativni klijent ne može popisati ostale goste kafića. Softver za upravljanje uređajima može prikupiti više od onoga što tunel otkriva, ali to je odvojena kontrola s drugim vlasnikom politike.

Pregledajte spremište certifikata prije nego što paničite

Pouzdani korijen je razlika između gledanja saobraćaja i njegovog čitanja. Pregledajte sistemski privjesak s ključevima za tijela koja ne prepoznajete i zabilježite ona koja su se pojavila oko vremena obavještenja. Upravljani Mac može legitimno nositi korijen za inspekciju koji je poslao poslodavac i tada razgovor pripada administratoru. Lični Mac koji je takav stekao slučajno ima nalaz vrijedan djelovanja. Zapišite uobičajeno ime, izdavaoca i datum dodavanja da bi se na pitanje moglo odgovoriti kasnije.

Uporedite tu listu s onim što prijavljuje upravljanje uređajima. Ako se lista profila i lista certifikata ne slažu, lista certifikata je ta koja odlučuje šta će Mac prihvatiti.

Dvije komande pokrivaju većinu provjere. Prva ispisuje konfiguracijske profile; druga ispisuje certifikate u sistemskom privjesku kojim upravlja administrator, a tu obično završi dodani korijen.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Standardni Apple korijeni žive u odvojenom privjesku i nisu briga ovdje. Prazan rezultat druge komande uobičajen je na ličnom Macu. Popunjen rezultat zaslužuje čitanje predmet po predmet prije nego što ga odbacite.

Odlučite, pa zapišite zašto

Odobrenje je razumno kada možete imenovati operatera, komponentu i razlog i kada zahtjev odgovara izboru koji ste vi ili vaša organizacija napravili. Istraga je ispravan odgovor kada obavještenje stigne bez konteksta, naročito nakon promjene mreže ili nepovezane instalacije. Prvo se odspojite, zabilježite identifikator profila i proširenje, pa odlučite. Uklanjanje je treći put i vraća ranije rutiranje bez diranja računa.

Tretirajte pristanak i uklanjanje kao odvojene odluke donesene u različito vrijeme. Odobravanje filtera danas ne obavezuje vas da ga zadržite, a uklanjanje profila ne briše serverske zapise o onome što je zapaženo dok je bio aktivan.

Ako je obavještenje uslijedilo nakon ažuriranja softvera koji već koristite, pročitajte napomene o izdanju te verzije prije klika. Dobavljači zaista mijenjaju arhitekturu proširenja između izdanja i novi filter može doći s rutinskim ažuriranjem. Ako je obavještenje uslijedilo nakon spajanja na novu mrežu, tretirajte vrijeme kao dokaz i pregledajte šta se promijenilo.

Vodite kratak zapis: naziv profila, identifikator proširenja, operater, otisak certifikata ako je dodan i datum. Sljedeća osoba može početi od te hronologije umjesto od formulacije dijaloga.