Peringatan VPN Mac yang difilter atau dipantau: apa yang diizinkannya

Peringatan itu adalah surat izin, bukan diagnosis. Saat macOS menyatakan bahwa sebuah konfigurasi akan memfilter atau memantau lalu lintas, ia memberi tahu Anda bahwa komponen yang Anda setujui dapat melihat jalur yang dicakupnya dan menanyakan apakah itu dapat diterima. Dialog tidak dapat memberi tahu siapa yang menjalankan komponen itu, apa yang dicatatnya, atau apakah ia mendekripsi sesuatu. Jawaban itu ada di profil, daftar ekstensi, dan sertifikat pada mesin, jadi mulailah dari sana alih-alih membaca ulang kalimatnya.

Baca pemberitahuan itu sebagai pertanyaan cakupan

Setiap pemberitahuan aktivasi menunjuk dua hal tanpa menamainya dengan jelas: ekstensi yang akan menangani lalu lintas dan konfigurasi yang mengarahkan lalu lintas ke dalamnya. Pada macOS saat ini komponen tersebut adalah ekstensi sistem NetworkExtension, dan memasang atau mengaktifkan salah satunya memerlukan persetujuan di Pengaturan Sistem. Kata-katanya tetap luas karena sistem operasi tidak dapat mengetahui apakah yang menyetujui adalah departemen TI, VPN berlangganan, atau agen penyaring yang menyertai hal lain.

Karena itu teks yang sama mencakup tiga tatanan berbeda. Mac yang dikelola menerima profil dari manajemen perangkat, Mac pribadi mendapat konfigurasi dari aplikasi yang Anda pasang, dan produk keamanan dapat memasang penyaring yang tidak pernah menampilkan dirinya sebagai VPN. Tidak satu pun label itu memutuskan maksud. Label hanya memberi tahu pihak mana yang harus ditanyai lebih dulu.

Dua perintah memisahkan kasus itu dengan cepat. Yang pertama mendaftar ekstensi sistem yang terpasang dan apakah masing-masing aktif, yang kedua mendaftar profil konfigurasi beserta muatannya dan organisasi penandatangannya.

systemextensionsctl list
profiles show -type configuration

Bedakan terowongan dari penyaring

Terowongan paket memberi Mac sebuah rute dan membawa apa pun yang dikirim tabel perutean ke dalamnya. Penyaring konten berada di tingkat aliran, melihat setiap koneksi, dan dapat mengizinkan, memblokir, atau mengalihkannya. Sebuah produk dapat menyediakan keduanya sekaligus, dan peringatannya tidak berubah saat itu. Perbedaannya penting karena bukti yang dapat Anda kumpulkan dan kegagalan yang akan Anda lihat berbeda.

Periksa kategori ekstensinya, bukan nama pemasarannya. Terowongan biasanya muncul sebagai konfigurasi VPN dan sebagai ekstensi jaringan, sedangkan penyaring mungkin tidak punya layanan VPN sama sekali. Jika produk menawarkan kedua mode, konfigurasi aktif memilih salah satunya, dan berganti mode dapat mengubah cakupan tanpa mengganti vendor.

Daftar layanan VPN adalah cara tercepat untuk melihat apakah ada terowongan. Penyaring yang bukan VPN tidak akan muncul di sana, yang dengan sendirinya merupakan informasi berguna.

scutil --nc list

Lencana terhubung bukan bukti cakupan. Aplikasi dapat dikecualikan oleh aturan per aplikasi, dan lalu lintas ke jaringan lokal sering melewati terowongan secara desain. Saat satu aplikasi berperilaku seolah tidak diawasi, curigai rute atau pengecualian sebelum menganggap pemantau rusak.

Apa yang diketahui operator tanpa membaca muatan

Metadata bukan hadiah penghibur. Alamat, port, nama DNS, waktu koneksi, jumlah byte, dan identitas yang terautentikasi semuanya terlihat oleh komponen di jalur itu. Kunjungan berulang ke satu host pada jam yang sama membangun rutinitas, dan rutinitas dapat berbicara lebih banyak daripada satu halaman.

Itulah jawaban jujur untuk pertanyaan yang biasa. Operator dapat melihat di mana dan kapan, bahkan ketika isinya tetap tersegel.

Visibilitas muatan memerlukan perubahan kedua yang lebih lantang. Sesi HTTPS yang divalidasi dengan benar tetap kedap bagi terowongan atau penyaring aliran, begitu pula berkas lokal dan lalu lintas yang tidak pernah masuk ke jalur tercakup. Membaca isi halaman memerlukan otoritas sertifikasi yang sudah dipercaya Mac, yaitu sertifikat intersepsi yang dipasang dengan persetujuannya sendiri. Langkah itu memindahkan batas dari metadata ke konten dan layak ditelaah terpisah.

Cakupannya juga berhenti pada perangkat. Terowongan di satu laptop tidak mencakup ponsel, tablet, atau mesin orang lain di Wi-Fi yang sama, dan klien korporat tidak dapat menginventarisasi pelanggan kafe lainnya. Perangkat lunak manajemen perangkat dapat mengumpulkan lebih dari yang diungkap terowongan, tetapi itu kontrol terpisah dengan pemilik kebijakan yang berbeda.

Periksa penyimpanan sertifikat sebelum panik

Akar tepercaya adalah perbedaan antara menonton lalu lintas dan membacanya. Periksa keychain sistem untuk otoritas yang tidak Anda kenali, dan catat yang muncul sekitar waktu pemberitahuan itu. Mac yang dikelola dapat secara sah membawa akar inspeksi yang didorong pemberi kerja, dan saat itu pembicaraannya dengan administrator. Mac pribadi yang mendapatkannya tanpa sengaja punya temuan yang layak ditindaklanjuti. Catat nama umum, penerbit, dan tanggal penambahannya agar pertanyaannya dapat dijawab nanti.

Bandingkan daftar itu dengan yang dilaporkan manajemen perangkat. Jika daftar profil dan daftar sertifikat tidak cocok, daftar sertifikatlah yang menentukan apa yang akan diterima Mac.

Dua perintah mencakup sebagian besar pemeriksaan. Yang pertama mencetak profil konfigurasi; yang kedua mencetak sertifikat di keychain sistem yang dikelola administrator, tempat akar yang ditambahkan biasanya mendarat.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Akar standar Apple tinggal di keychain terpisah dan bukan kekhawatiran di sini. Hasil kosong dari perintah kedua lazim pada Mac pribadi. Hasil berisi layak dibaca subjek demi subjek sebelum Anda mengabaikannya.

Putuskan, lalu catat alasannya

Persetujuan masuk akal ketika Anda dapat menyebut operator, komponen, dan alasannya, dan ketika permintaan itu cocok dengan pilihan yang Anda atau organisasi Anda buat. Investigasi adalah respons yang tepat ketika pemberitahuan datang tanpa konteks, terutama setelah perubahan jaringan atau pemasangan yang tidak terkait. Putuskan koneksi lebih dulu, tangkap pengenal profil dan ekstensinya, lalu putuskan. Penghapusan adalah jalur ketiga, dan memulihkan perutean sebelumnya tanpa menyentuh akun.

Perlakukan persetujuan dan penghapusan sebagai keputusan terpisah yang dibuat pada waktu berbeda. Menyetujui penyaring hari ini tidak mengikat Anda untuk menyimpannya, dan menghapus profil tidak menghapus catatan sisi server tentang apa yang diamati selama profil itu aktif.

Jika pemberitahuan menyusul pembaruan perangkat lunak yang sudah Anda jalankan, baca catatan rilis versi itu sebelum mengklik. Vendor memang mengubah arsitektur ekstensi antar rilis, dan penyaring baru dapat datang bersama pembaruan rutin. Jika pemberitahuan menyusul koneksi ke jaringan baru, perlakukan waktunya sebagai bukti dan periksa apa yang berubah.

Simpan catatan singkat: nama profil, pengenal ekstensi, operator, sidik jari sertifikat jika ada yang ditambahkan, dan tanggalnya. Orang berikutnya dapat mulai dari lini masa itu alih-alih dari kata-kata dialog.