Զգուշացում զտված կամ հսկվող Mac VPN-ի մասին՝ ինչ է այն թույլատրում
macOS-ի ծանուցումը համաձայնության հարցում է այն մասին, թե օպերատորը ինչ կարող է ստուգել ծածկված ուղու վրա, ոչ թե վնասակար ծրագրի դատավճիռ և ոչ ապացույց, որ ձեր թրաֆիկը գաղտնազերծվում է։
Այդ զգուշացումը թույլտվություն է, ոչ ախտորոշում։ Երբ macOS-ը հայտնում է, որ կոնֆիգուրացիան կզտի կամ կհսկի թրաֆիկը, այն ասում է, որ ձեր հաստատած բաղադրիչը տեսնում է իր ծածկած ուղին, և հարցնում է՝ արդյոք դա ընդունելի է։ Երկխոսությունը չի կարող ասել, թե ով է կառավարում բաղադրիչը, ինչ է գրանցում կամ արդյոք ինչ-որ բան գաղտնազերծում է։ Այդ պատասխանները կան պրոֆիլում, ընդլայնումների ցանկում և մեքենայի սերտիֆիկատներում, ուստի սկսեք այնտեղից՝ նախադասությունը նորից կարդալու փոխարեն։
Կարդացեք ծանուցումը որպես ծավալի հարց
Յուրաքանչյուր ակտիվացման ծանուցում մատնանշում է երկու բան՝ առանց դրանք հստակ անվանելու՝ թրաֆիկը վարող ընդլայնումը և թրաֆիկն այնտեղ ուղղող կոնֆիգուրացիան։ Ընթացիկ macOS-ում այդ բաղադրիչները NetworkExtension համակարգային ընդլայնումներ են, և դրանցից մեկի տեղադրումը կամ ակտիվացումը պահանջում է հաստատում Համակարգի կարգավորումներում։ Ձևակերպումը մնում է լայն, որովհետև օպերացիոն համակարգը չի կարող իմանալ՝ հաստատողը ՏՏ բաժին է, բաժանորդային VPN, թե զտիչ գործակալ, որը գալիս է այլ բանի հետ։
Այդ պատճառով նույն տեքստը ծածկում է երեք տարբեր դասավորություն։ Կառավարվող Mac-ը պրոֆիլ է ստանում սարքերի կառավարումից, անձնական Mac-ը կոնֆիգուրացիա է ստանում ձեր տեղադրած հավելվածից, և անվտանգության արտադրանքը կարող է տեղադրել զտիչ, որն իրեն երբեք VPN չի ներկայացնում։ Այդ պիտակներից ոչ մեկը չի լուծում մտադրությունը։ Դրանք միայն ասում են՝ ումից առաջինը հարցնել։
Երկու հրաման արագ բաժանում են այդ դեպքերը։ Առաջինը թվարկում է տեղադրված համակարգային ընդլայնումները և արդյոք յուրաքանչյուրն ակտիվ է, երկրորդը՝ կոնֆիգուրացիոն պրոֆիլները իրենց պարունակությամբ և ստորագրող կազմակերպությամբ։
systemextensionsctl list
profiles show -type configurationՏարբերեք թունելը զտիչից
Փաթեթային թունելը Mac-ին ուղի է տալիս և կրում է այն ամենը, ինչ ուղղորդման աղյուսակը ուղարկում է դրա մեջ։ Բովանդակության զտիչը նստում է հոսքի մակարդակում, տեսնում է յուրաքանչյուր կապ և կարող է թույլատրել, արգելափակել կամ վերահասցեավորել այն։ Արտադրանքը կարող է միաժամանակ տրամադրել երկուսն էլ, և զգուշացումը դրանից չի փոխվում։ Տարբերությունը կարևոր է, որովհետև հավաքվող ապացույցներն ու տեսանելի խափանումները տարբեր են։
Ստուգեք ընդլայնման կատեգորիան, ոչ թե շուկայական անվանումը։ Թունելը սովորաբար երևում է որպես VPN կոնֆիգուրացիա և որպես ցանցային ընդլայնում, մինչդեռ զտիչը կարող է ընդհանրապես VPN ծառայություն չունենալ։ Եթե արտադրանքն առաջարկում է երկու ռեժիմ, ակտիվ կոնֆիգուրացիան ընտրում է մեկը, և ռեժիմի փոփոխությունը կարող է փոխել ծածկույթը՝ առանց մատակարարին փոխելու։
VPN ծառայությունների ցանկը թունելի գոյությունը տեսնելու ամենաարագ միջոցն է։ Զտիչը, որը VPN չէ, այնտեղ չի երևա, ինչն ինքնին օգտակար տեղեկություն է։
scutil --nc listՄիացված պատկերանշանը ծածկույթի ապացույց չէ։ Հավելվածները կարելի է բացառել յուրաքանչյուր հավելվածի կանոններով, և տեղային ցանցերին ուղղված թրաֆիկը հաճախ նախագծմամբ շրջանցում է թունելը։ Երբ մի հավելված իրեն պահում է այնպես, կարծես չի հսկվում, կասկածեք ուղու կամ բացառության վրա, մինչև հսկիչի խափանումը ենթադրելը։
Ինչ է իմանում օպերատորը՝ չկարդալով պարունակությունը
Մետատվյալները մխիթարանքի մրցանակ չեն։ Հասցեները, պորտերը, DNS անունները, միացման ժամերը, բայթերի հաշվարկը և նույնականացված ինքնությունը տեսանելի են ուղու վրա գտնվող բաղադրիչին։ Մեկ հոսթի կրկնվող այցերը նույն ժամին սովորություն են կառուցում, և սովորությունը կարող է ավելին ասել, քան մեկ էջը։
Սա սովորական հարցի ազնիվ պատասխանն է։ Օպերատորը տեսնում է որտեղ և երբ, նույնիսկ երբ բովանդակությունը կնքված է մնում։
Պարունակության տեսանելիությունը պահանջում է երկրորդ, ավելի բարձր փոփոխություն։ Ճիշտ վավերացված HTTPS նստաշրջանը մնում է անթափանց թունելի կամ հոսքի զտիչի համար, ինչպես նաև տեղային ֆայլերը և այն թրաֆիկը, որը երբեք չի մտնում ծածկված ուղի։ Էջերի մարմինը կարդալու համար պետք է սերտիֆիկացման մարմին, որին Mac-ը արդեն վստահում է, այսինքն՝ սեփական հաստատմամբ տեղադրված խափանման սերտիֆիկատ։ Այդ քայլը սահմանը տեղափոխում է մետատվյալներից դեպի բովանդակություն և արժանի է առանձին քննության։
Ծավալը կանգ է առնում նաև սարքի վրա։ Մեկ նոթբուքի թունելը չի ծածկում նույն Wi-Fi-ում գտնվող հեռախոսը, պլանշետը կամ այլ մարդու մեքենան, և կորպորատիվ հաճախորդը չի կարող գույքագրել սրճարանի մյուս այցելուներին։ Սարքերի կառավարման ծրագիրը կարող է ավելի շատ հավաքել, քան թունելը բացահայտում է, բայց դա առանձին վերահսկողություն է՝ այլ քաղաքականության սեփականատիրոջով։
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
Ստուգեք սերտիֆիկատների պահոցը՝ խուճապահար լինելուց առաջ
Վստահելի արմատը տարբերությունն է թրաֆիկը տեսնելու և այն կարդալու միջև։ Ստուգեք համակարգի բանալիների շղթան՝ ձեզ անծանոթ մարմինների համար, և նշեք նրանց, որոնք հայտնվել են ծանուցման ժամին մոտ։ Կառավարվող Mac-ը կարող է օրինականորեն կրել գործատուի ուղարկած ստուգման արմատ, և այդ դեպքում խոսակցությունը ադմինիստրատորի հետ է։ Անձնական Mac-ը, որը մեկը ձեռք է բերել պատահաբար, ունի գործողության արժանի հայտնաբերում։ Գրանցեք ընդհանուր անունը, թողարկողին և ավելացման ամսաթիվը, որպեսզի հարցին հնարավոր լինի պատասխանել ավելի ուշ։
Համեմատեք այդ ցանկը սարքերի կառավարման հաղորդածի հետ։ Եթե պրոֆիլների ցանկը և սերտիֆիկատների ցանկը չեն համընկնում, ապա սերտիֆիկատների ցանկն է որոշում, թե Mac-ը ինչ կընդունի։
Երկու հրաման ծածկում են ստուգման մեծ մասը։ Առաջինը տպում է կոնֆիգուրացիոն պրոֆիլները, երկրորդը տպում է ադմինիստրատորի կառավարած համակարգային բանալիների շղթայի սերտիֆիկատները, որտեղ սովորաբար վայրէջք է կատարում ավելացված արմատը։
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainApple-ի ստանդարտ արմատները ապրում են առանձին բանալիների շղթայում և այստեղ մտահոգություն չեն։ Երկրորդ հրամանի դատարկ արդյունքը սովորական է անձնական Mac-ում։ Լցված արդյունքը արժանի է թեմա առ թեմա ընթերցման՝ նախքան այն մերժելը։
Որոշեք, ապա գրի առեք ինչու
Հաստատումը խելամիտ է, երբ կարող եք անվանել օպերատորին, բաղադրիչը և պատճառը, և երբ հարցումը համապատասխանում է ձեր կամ ձեր կազմակերպության կատարած ընտրությանը։ Հետաքննությունը ճիշտ արձագանքն է, երբ ծանուցումը գալիս է առանց համատեքստի, հատկապես ցանցի փոփոխությունից կամ անկապ տեղադրումից հետո։ Նախ անջատեք կապը, գրանցեք պրոֆիլի նույնացուցիչը և ընդլայնումը, ապա որոշեք։ Հեռացումը երրորդ ուղին է, և այն վերականգնում է նախկին ուղղորդումը՝ չդիպչելով հաշվին։
Վերաբերվեք համաձայնությանը և հեռացմանը որպես առանձին որոշումներ, որոնք կայացվում են տարբեր ժամանակներում։ Այսօր զտիչ հաստատելը ձեզ չի պարտավորեցնում պահել այն, և պրոֆիլի հեռացումը չի ջնջում սերվերի կողմի գրառումներն այն մասին, ինչ դիտարկվել է դրա ակտիվ եղած ժամանակ։
Եթե ծանուցումը հաջորդել է արդեն օգտագործվող ծրագրի թարմացմանը, կարդացեք այդ տարբերակի թողարկման նշումները՝ նախքան սեղմելը։ Մատակարարները իսկապես փոխում են ընդլայնումների ճարտարապետությունը թողարկումների միջև, և նոր զտիչը կարող է գալ սովորական թարմացման հետ։ Եթե ծանուցումը հաջորդել է նոր ցանցին միանալուն, ժամանակը համարեք ապացույց և ստուգեք, թե ինչ փոխվեց։
Պահեք կարճ գրառում՝ պրոֆիլի անունը, ընդլայնման նույնացուցիչը, օպերատորը, սերտիֆիկատի մատնահետքը, եթե մեկն ավելացվել է, և ամսաթիվը։ Հաջորդ մարդը կարող է սկսել այդ ժամանակագրությունից, այլ ոչ թե երկխոսության ձևակերպումից։