Mac VPN のフィルタリング・監視通知：何を許可するのか

その警告は許可証であり、診断ではありません。macOS が「構成が通信をフィルタリングまたは監視する」と告げるとき、承認したコンポーネントが対象経路を見られること、そしてそれが許容できるかを尋ねているのです。ダイアログは、誰がそのコンポーネントを運営しているか、何を記録するか、何かを復号するかを教えてくれません。答えはプロファイル、拡張機能の一覧、マシン上の証明書にあるので、文を読み返すのではなく、そこから始めてください。

通知を範囲の問いとして読む

どの有効化通知も、はっきり名指しせずに、通信を扱う拡張機能と通信をそこへ導く構成という二つのものを指します。現在の macOS ではこれらは NetworkExtension のシステム拡張であり、インストールや有効化にはシステム設定での承認が必要です。文言が広いままなのは、承認者が IT 部門なのか、サブスクリプション VPN なのか、他の何かに同梱されたフィルタリングエージェントなのかを OS が知り得ないからです。

だから同じ文面が三つの異なる構成を覆います。管理された Mac はデバイス管理からプロファイルを受け取り、個人の Mac はインストールしたアプリから構成を受け取り、セキュリティ製品は VPN を名乗らないフィルタを入れることがあります。どのラベルも意図を決めません。どちら側にまず尋ねるべきかを示すだけです。

二つのコマンドがその場合を素早く分けます。一つ目はインストール済みのシステム拡張と有効かどうかを一覧し、二つ目は構成プロファイルをペイロードと署名組織とともに一覧します。

systemextensionsctl list
profiles show -type configuration

トンネルとフィルタを見分ける

パケットトンネルは Mac に経路を与え、ルーティングテーブルが送るものをすべて運びます。コンテンツフィルタはフローの層に座り、各接続を見て、許可・遮断・転送を決められます。製品が両方を同時に提供することもあり、その場合も警告は変わりません。違いが重要なのは、集められる証拠と目にする障害が異なるからです。

マーケティング名ではなく拡張機能の分類を確認してください。トンネルは通常 VPN 構成とネットワーク拡張として現れ、フィルタは VPN サービスをまったく持たないこともあります。製品が両方のモードを提供する場合、有効な構成が一方を選び、モードの切り替えはベンダーを変えずに対象範囲を変え得ます。

VPN サービスの一覧が、トンネルの有無を見る最短の方法です。VPN でないフィルタはそこに現れず、それ自体が有用な情報です。

scutil --nc list

接続済みのバッジは対象範囲の証拠ではありません。アプリはアプリごとの規則で除外でき、ローカルネットワークへの通信は設計上トンネルを迂回することがよくあります。あるアプリが監視されていないように振る舞うときは、監視が壊れたと決めつける前に経路や除外を疑ってください。

運営者がペイロードを読まずに知ること

メタデータは慰めの賞品ではありません。アドレス、ポート、DNS 名、接続時刻、バイト数、認証された身元はすべて経路上のコンポーネントに見えます。同じ時間帯に同じホストへ繰り返し訪れると習慣ができ、習慣は一枚のページより多くを語ります。

これがよくある問いへの正直な答えです。内容が封印されたままでも、運営者はどこでいつを知ることができます。

ペイロードの可視性には、二つ目のより強い変化が要ります。正しく検証された HTTPS セッションはトンネルやフローフィルタに対して不透明なままで、ローカルファイルや対象経路に入らない通信も同じです。ページ本体を読むには Mac がすでに信頼する認証局、つまり独自の承認で導入された傍受証明書が必要です。その一歩は境界をメタデータから内容へ移し、別途の検討に値します。

範囲はデバイスでも止まります。一台のノート PC のトンネルは、同じ Wi-Fi 上の携帯電話、タブレット、他人のマシンを覆いませんし、企業クライアントはカフェの他の客を一覧できません。デバイス管理ソフトはトンネルが明かす以上のものを集められますが、それは別のポリシー所有者による別の統制です。

慌てる前に証明書ストアを調べる

信頼されたルートが、通信を見ることと読むことの違いを生みます。システムキーチェーンで見覚えのない認証局を調べ、通知の前後に現れたものを記録してください。管理された Mac は雇用主が配布した検査用ルートを正当に持つことがあり、その場合は管理者との話になります。個人の Mac が偶然持ってしまった場合は、対処に値する発見です。共通名、発行者、追加日を書き留めれば、後で問いに答えられます。

その一覧をデバイス管理の報告と比べてください。プロファイル一覧と証明書一覧が食い違う場合、Mac が何を受け入れるかを決めるのは証明書一覧です。

二つのコマンドで確認の大半を覆えます。一つ目は構成プロファイルを出力し、二つ目は管理者が管理するシステムキーチェーンの証明書を出力しますが、追加されたルートは通常そこに置かれます。

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Apple の標準ルートは別のキーチェーンにあり、ここでの心配事ではありません。二つ目のコマンドが空になるのは個人の Mac ではよくあります。中身がある場合は、捨てる前に項目ごとに読む価値があります。

決めてから、理由を書き残す

承認が妥当なのは、運営者、コンポーネント、理由を名指しでき、その要求が自分や組織の選択と一致するときです。通知が文脈なしに届くとき、とくにネットワーク変更や無関係なインストールの後は、調査が正しい対応です。まず切断し、プロファイル識別子と拡張機能を記録してから決めてください。削除は第三の道で、アカウントに触れずに以前の経路設定へ戻します。

同意と削除は別の時点で下す別々の決定として扱ってください。今日フィルタを承認しても保持する義務は生じず、プロファイルを削除しても、有効だった間に観測された内容のサーバー側記録は消えません。

すでに使っているソフトの更新の後に通知が出たなら、クリックする前にその版のリリースノートを読んでください。ベンダーは版の間で拡張機能の設計を実際に変えることがあり、新しいフィルタが定例更新で入ることもあります。新しいネットワークへの接続の後に通知が出たなら、その時点を証拠として扱い、何が変わったかを調べてください。

短い記録を残してください:プロファイル名、拡張機能の識別子、運営者、追加されたなら証明書の指紋、そして日付です。次の人はダイアログの文言ではなく、その年表から始められます。