გაფილტრული ან მონიტორინგის ქვეშ მყოფი Mac VPN-ის გაფრთხილება: რას უშვებს ის
macOS-ის შეტყობინება თანხმობის მოთხოვნაა იმის შესახებ, თუ რა შეუძლია ოპერატორს დაათვალიეროს დაფარულ გზაზე, და არა მალვეარის განაჩენი ან მტკიცება, რომ თქვენი ტრაფიკი გაშიფრულია.
ეს გაფრთხილება ნებართვაა და არა დიაგნოზი. როცა macOS ამბობს, რომ კონფიგურაცია ტრაფიკს გაფილტრავს ან დააკვირდება, ის გეუბნებათ, რომ თქვენ მიერ დამტკიცებული კომპონენტი ხედავს მის მიერ დაფარულ გზას, და გკითხულობთ მისაღებია თუ არა ეს. დიალოგი ვერ გეტყვით, ვინ მართავს კომპონენტს, რას იწერს ან რამეს შიფრს ხსნის თუ არა. ეს პასუხები პროფილში, გაფართოებების სიაში და მანქანის სერტიფიკატებშია, ამიტომ დაიწყეთ იქიდან და არა წინადადების ხელახლა კითხვით.
წაიკითხეთ შეტყობინება როგორც კითხვა ფარგლებზე
თითოეული გააქტიურების შეტყობინება ორ რამეზე მიუთითებს მათი მკაფიოდ დასახელების გარეშე: გაფართოებაზე, რომელიც ტრაფიკს მოემსახურება და კონფიგურაციაზე, რომელიც ტრაფიკს იქით მიმართავს. მიმდინარე macOS-ში ეს კომპონენტები NetworkExtension სისტემური გაფართოებებია, და ერთის ინსტალაცია ან გააქტიურება სისტემის პარამეტრებში დამტკიცებას მოითხოვს. ფორმულირება ფართო რჩება, რადგან ოპერაციულ სისტემას არ შეუძლია იცოდეს, დამამტკიცებელი IT განყოფილებაა, სააბონენტო VPN თუ ფილტრაციის აგენტი, რომელიც სხვა რამეს მოყვება.
ამიტომ ერთი და იგივე ტექსტი სამ სხვადასხვა წყობას ფარავს. მართული Mac პროფილს მოწყობილობების მართვისგან იღებს, პირადი Mac კონფიგურაციას თქვენ მიერ დაყენებული აპიდან იღებს, და უსაფრთხოების პროდუქტმა შეიძლება ჩადგას ფილტრი, რომელიც თავს არასდროს წარმოაჩენს VPN-ად. არც ერთი ეს იარლიყი არ წყვეტს განზრახვას. ისინი მხოლოდ ამბობენ, რომელ მხარეს ჰკითხოთ პირველად.
ორი ბრძანება სწრაფად ჰყოფს ამ შემთხვევებს. პირველი ჩამოთვლის დაყენებულ სისტემურ გაფართოებებს და თუ რომელია აქტიური, მეორე — კონფიგურაციის პროფილებს მათი დატვირთვებით და ხელმომწერი ორგანიზაციით.
systemextensionsctl list
profiles show -type configurationგაარჩიეთ გვირაბი ფილტრისგან
პაკეტური გვირაბი Mac-ს მარშრუტს აძლევს და გადააქვს ყველაფერი, რასაც მარშრუტიზაციის ცხრილი იქით აგზავნის. შიგთავსის ფილტრი ნაკადის დონეზე ზის, ხედავს ყოველ კავშირს და შეუძლია დაუშვას, დაბლოკოს ან გადაამისამართოს ის. პროდუქტმა შეიძლება ორივე ერთდროულად მოგაწოდოს, და გაფრთხილება მაშინ არ იცვლება. სხვაობა მნიშვნელოვანია, რადგან შესაგროვებელი მტკიცებულებები და სანახავი ჩავარდნები განსხვავებულია.
შეამოწმეთ გაფართოების კატეგორია და არა მარკეტინგული სახელი. გვირაბი ჩვეულებრივ VPN კონფიგურაციად და ქსელურ გაფართოებად ჩანს, ფილტრს კი შეიძლება საერთოდ არ ჰქონდეს VPN სერვისი. თუ პროდუქტი ორივე რეჟიმს გვთავაზობს, აქტიური კონფიგურაცია ერთს ირჩევს, და რეჟიმის შეცვლამ შეიძლება შეცვალოს დაფარვა მომწოდებლის შეცვლის გარეშე.
VPN სერვისების სია ყველაზე სწრაფი გზაა გვირაბის არსებობის სანახავად. ფილტრი, რომელიც VPN არ არის, იქ არ გამოჩნდება, და ეს თავისთავად სასარგებლო ინფორმაციაა.
scutil --nc listდაკავშირებული ნიშანი დაფარვის მტკიცებულება არ არის. აპების გამორიცხვა თითოეული აპის წესებით შეიძლება, და ლოკალურ ქსელებზე ტრაფიკი ხშირად დიზაინით აუვლის გვირაბს. როცა ერთი აპლიკაცია ისე იქცევა, თითქოს არ მეთვალყურეობენ, ეჭვი შეიტანეთ მარშრუტში ან გამორიცხვაში, სანამ მეთვალყურის გაფუჭებას ჩათვლით.
რას იგებს ოპერატორი დატვირთვების წაკითხვის გარეშე
მეტამონაცემები ნუგეშის პრიზი არ არის. მისამართები, პორტები, DNS სახელები, კავშირის დროები, ბაიტების რაოდენობა და ავთენტიფიცირებული იდენტობა ყველა ხილულია გზაზე მყოფი კომპონენტისთვის. ერთსა და იმავე საათში ერთი ჰოსტის განმეორებითი ვიზიტები ჩვევას ქმნის, და ჩვევამ შეიძლება ერთ გვერდზე მეტი თქვას.
ეს არის გულახდილი პასუხი ჩვეულ კითხვაზე. ოპერატორს შეუძლია დაინახოს სად და როდის, მაშინაც კი როცა შიგთავსი დალუქული რჩება.
დატვირთვების ხილვადობა მეორე, უფრო ხმამაღალ ცვლილებას მოითხოვს. სწორად ვალიდირებული HTTPS სესია გაუმჭვირვალე რჩება გვირაბისთვის ან ნაკადის ფილტრისთვის, ისევე როგორც ლოკალური ფაილები და ტრაფიკი, რომელიც არასდროს შედის დაფარულ გზაზე. გვერდების სხეულის წაკითხვას სჭირდება სერტიფიკატის ორგანო, რომელსაც Mac უკვე ენდობა, ანუ საკუთარი დამტკიცებით დაყენებული ჩარევის სერტიფიკატი. ეს ნაბიჯი საზღვარს მეტამონაცემებიდან შიგთავსზე გადააქვს და ცალკე განხილვას იმსახურებს.
ფარგლები მოწყობილობაზეც ჩერდება. ერთი ნოუთბუქის გვირაბი არ ფარავს იმავე Wi-Fi-ში მყოფ ტელეფონს, პლანშეტს ან სხვის მანქანას, და კორპორატიული კლიენტი ვერ ჩამოთვლის კაფეში მყოფ სხვა ვიზიტორებს. მოწყობილობების მართვის პროგრამას უფრო მეტის შეგროვება შეუძლია, ვიდრე გვირაბი ამხელს, მაგრამ ეს ცალკე კონტროლია სხვა პოლიტიკის მფლობელით.
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
შეამოწმეთ სერტიფიკატების საცავი პანიკამდე
სანდო ფესვი განსხვავებაა ტრაფიკის ყურებასა და მის წაკითხვას შორის. შეამოწმეთ სისტემის გასაღებების კრებული ისეთი ორგანოებისთვის, რომლებსაც არ იცნობთ, და აღნიშნეთ ყველა, რომელიც შეტყობინების დროის ირგვლივ გამოჩნდა. მართულ Mac-ს კანონიერად შეიძლება ჰქონდეს დამსაქმებლის მიერ გაგზავნილი შემოწმების ფესვი, და მაშინ საუბარი ადმინისტრატორს ეკუთვნის. პირად Mac-ს, რომელმაც შემთხვევით შეიძინა ერთი, აქვს მოქმედ ნაბიჯად ღირსეული აღმოჩენა. ჩაწერეთ საერთო სახელი, გამომცემელი და დამატების თარიღი, რომ კითხვას მოგვიანებით პასუხი გაეცეს.
შეადარეთ ეს სია იმას, რასაც მოწყობილობების მართვა იტყობინება. თუ პროფილების სია და სერტიფიკატების სია არ ემთხვევა, სერტიფიკატების სია წყვეტს, რას მიიღებს Mac.
ორი ბრძანება ფარავს შემოწმების უმეტეს ნაწილს. პირველი ბეჭდავს კონფიგურაციის პროფილებს; მეორე ბეჭდავს სერტიფიკატებს ადმინისტრატორის მიერ მართულ სისტემურ გასაღებების კრებულში, სადაც დამატებული ფესვი ჩვეულებრივ ხვდება.
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainApple-ის სტანდარტული ფესვები ცალკე გასაღებების კრებულში ცხოვრობენ და აქ საზრუნავი არ არიან. მეორე ბრძანების ცარიელი შედეგი პირად Mac-ზე ჩვეულებრივია. შევსებული შედეგი იმსახურებს საგან-საგან კითხვას, სანამ უარყოფთ.
გადაწყვიტეთ, შემდეგ ჩაწერეთ რატომ
დამტკიცება გონივრულია, როცა შეგიძლიათ დაასახელოთ ოპერატორი, კომპონენტი და მიზეზი, და როცა მოთხოვნა ემთხვევა თქვენ ან თქვენი ორგანიზაციის მიერ გაკეთებულ არჩევანს. გამოძიება სწორი რეაქციაა, როცა შეტყობინება კონტექსტის გარეშე მოდის, განსაკუთრებით ქსელის ცვლილების ან დაუკავშირებელი ინსტალაციის შემდეგ. ჯერ გათიშეთ კავშირი, ჩაიწერეთ პროფილის იდენტიფიკატორი და გაფართოება, შემდეგ გადაწყვიტეთ. წაშლა მესამე გზაა, და ის აღადგენს წინა მარშრუტიზაციას ანგარიშზე ხელის შეხების გარეშე.
თანხმობას და წაშლას მოეპყარით როგორც ცალკეულ გადაწყვეტილებებს, რომლებიც სხვადასხვა დროს მიიღება. დღეს ფილტრის დამტკიცება არ გავალდებულებთ მის შენარჩუნებაზე, და პროფილის წაშლა არ შლის სერვერის ჩანაწერებს იმის შესახებ, რაც აქტიურობის დროს დაფიქსირდა.
თუ შეტყობინება მოჰყვა უკვე გაშვებული პროგრამის განახლებას, სანამ დააწკაპუნებთ, წაიკითხეთ იმ ვერსიის გამოშვების შენიშვნები. მომწოდებლები ნამდვილად ცვლიან გაფართოებების არქიტექტურას გამოშვებებს შორის, და ახალი ფილტრი შეიძლება ჩვეულებრივ განახლებასთან ერთად მოვიდეს. თუ შეტყობინება მოჰყვა ახალ ქსელზე დაკავშირებას, დრო მტკიცებულებად მიიღეთ და შეამოწმეთ რა შეიცვალა.
შეინახეთ მოკლე ჩანაწერი: პროფილის სახელი, გაფართოების იდენტიფიკატორი, ოპერატორი, სერტიფიკატის ანაბეჭდი თუ დაემატა, და თარიღი. შემდეგ ადამიანს შეუძლია დაიწყოს ამ ქრონოლოგიიდან და არა დიალოგის ფორმულირებიდან.