필터링 또는 모니터링되는 Mac VPN 경고: 무엇을 허용하는가

그 경고는 허가증이지 진단이 아닙니다. macOS가 어떤 구성이 트래픽을 필터링하거나 모니터링한다고 알릴 때, 그것은 승인한 구성 요소가 적용 경로를 볼 수 있다는 뜻이고 그것이 받아들일 만한지 묻는 것입니다. 대화 상자는 누가 그 구성 요소를 운영하는지, 무엇을 기록하는지, 무엇인가를 복호화하는지 알려 줄 수 없습니다. 그 답은 프로파일, 확장 목록, 그리고 기기의 인증서에 있으므로 문장을 다시 읽는 대신 거기서 시작하십시오.

알림을 범위에 대한 질문으로 읽기

모든 활성화 알림은 두 가지를 분명히 이름 붙이지 않은 채 가리킵니다. 트래픽을 처리할 확장과 트래픽을 그쪽으로 보내는 구성입니다. 현재 macOS에서 이 구성 요소들은 NetworkExtension 시스템 확장이며, 하나를 설치하거나 활성화하려면 시스템 설정에서 승인이 필요합니다. 문구가 계속 넓은 이유는 운영 체제가 승인하는 쪽이 IT 부서인지, 구독형 VPN인지, 다른 것에 딸린 필터링 에이전트인지 알 수 없기 때문입니다.

그래서 같은 문구가 세 가지 다른 배치를 포괄합니다. 관리되는 Mac은 기기 관리에서 프로파일을 받고, 개인 Mac은 설치한 앱에서 구성을 받으며, 보안 제품은 자신을 VPN으로 내세우지 않는 필터를 설치할 수 있습니다. 어떤 이름표도 의도를 결정하지 않습니다. 어느 쪽에 먼저 물어야 하는지만 알려 줍니다.

두 명령이 그 경우들을 빠르게 나눕니다. 첫 번째는 설치된 시스템 확장과 각각의 활성 여부를 나열하고, 두 번째는 구성 프로파일을 페이로드와 서명 기관과 함께 나열합니다.

systemextensionsctl list
profiles show -type configuration

터널과 필터를 구분하기

패킷 터널은 Mac에 경로를 주고 라우팅 테이블이 보내는 모든 것을 실어 나릅니다. 콘텐츠 필터는 흐름 수준에 앉아 각 연결을 보고 허용, 차단, 우회시킬 수 있습니다. 한 제품이 둘을 동시에 제공할 수도 있고, 그래도 경고는 바뀌지 않습니다. 차이가 중요한 이유는 모을 수 있는 증거와 보게 될 장애가 다르기 때문입니다.

마케팅 이름이 아니라 확장 범주를 확인하십시오. 터널은 보통 VPN 구성과 네트워크 확장으로 나타나고, 필터는 VPN 서비스가 전혀 없을 수도 있습니다. 제품이 두 모드를 모두 제공하면 활성 구성이 하나를 고르며, 모드를 바꾸면 공급자를 바꾸지 않고도 적용 범위가 달라질 수 있습니다.

VPN 서비스 목록이 터널 존재 여부를 보는 가장 빠른 방법입니다. VPN이 아닌 필터는 거기에 나타나지 않으며, 그것 자체가 유용한 정보입니다.

scutil --nc list

연결됨 배지는 적용의 증거가 아닙니다. 앱은 앱별 규칙으로 제외될 수 있고, 로컬 네트워크로 가는 트래픽은 설계상 터널을 우회하는 경우가 많습니다. 한 애플리케이션이 감시되지 않는 것처럼 행동하면 모니터가 고장 났다고 가정하기 전에 경로나 제외를 의심하십시오.

운영자가 페이로드를 읽지 않고 아는 것

메타데이터는 위로의 상이 아닙니다. 주소, 포트, DNS 이름, 연결 시각, 바이트 수, 인증된 신원은 모두 경로 위의 구성 요소에 보입니다. 같은 호스트를 같은 시간에 반복 방문하면 습관이 생기고, 습관은 한 페이지보다 많은 것을 말할 수 있습니다.

흔한 질문에 대한 정직한 답입니다. 내용이 봉인된 채로 남아도 운영자는 어디서 언제인지 볼 수 있습니다.

페이로드 가시성에는 두 번째의 더 강한 변화가 필요합니다. 올바르게 검증된 HTTPS 세션은 터널이나 흐름 필터에 불투명하게 남고, 로컬 파일과 적용 경로에 들어오지 않는 트래픽도 마찬가지입니다. 페이지 본문을 읽으려면 Mac이 이미 신뢰하는 인증 기관, 즉 자체 승인으로 설치된 가로채기 인증서가 필요합니다. 그 단계는 경계를 메타데이터에서 내용으로 옮기며 별도의 검토가 필요합니다.

범위는 기기에서도 멈춥니다. 노트북 한 대의 터널은 같은 Wi-Fi에 있는 휴대전화, 태블릿, 다른 사람의 기기를 덮지 않으며, 기업 클라이언트는 카페의 다른 손님을 목록화할 수 없습니다. 기기 관리 소프트웨어는 터널이 드러내는 것보다 많이 모을 수 있지만, 그것은 다른 정책 소유자의 별도 통제입니다.

당황하기 전에 인증서 저장소를 점검하십시오

신뢰된 루트가 트래픽을 보고 읽는 것의 차이를 만듭니다. 시스템 키체인에서 알지 못하는 기관을 찾아보고, 알림 시점 근처에 나타난 것을 기록하십시오. 관리되는 Mac은 고용주가 밀어 넣은 검사 루트를 정당하게 가질 수 있으며, 그때는 관리자와 이야기해야 합니다. 실수로 하나를 얻은 개인 Mac은 조치할 만한 발견입니다. 일반 이름, 발급자, 추가 날짜를 적어 두면 나중에 질문에 답할 수 있습니다.

그 목록을 기기 관리가 보고하는 것과 비교하십시오. 프로파일 목록과 인증서 목록이 어긋나면 Mac이 무엇을 받아들일지는 인증서 목록이 결정합니다.

두 명령으로 점검의 대부분을 덮습니다. 첫 번째는 구성 프로파일을 출력하고, 두 번째는 관리자가 관리하는 시스템 키체인의 인증서를 출력합니다. 추가된 루트는 보통 거기에 들어갑니다.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Apple의 표준 루트는 별도 키체인에 있고 여기서 걱정할 대상이 아닙니다. 두 번째 명령의 결과가 비어 있는 것은 개인 Mac에서 흔합니다. 결과가 채워져 있으면 버리기 전에 항목별로 읽어 볼 가치가 있습니다.

결정하고 나서 이유를 적기

승인은 운영자, 구성 요소, 이유를 댈 수 있고 그 요청이 자신이나 조직이 한 선택과 맞을 때 합리적입니다. 알림이 맥락 없이 올 때, 특히 네트워크 변경이나 무관한 설치 후에는 조사가 옳은 대응입니다. 먼저 연결을 끊고 프로파일 식별자와 확장을 기록한 뒤 결정하십시오. 제거는 세 번째 길이며 계정을 건드리지 않고 이전 라우팅을 되돌립니다.

동의와 제거를 서로 다른 시점에 내리는 별개의 결정으로 다루십시오. 오늘 필터를 승인해도 그것을 유지할 의무는 없고, 프로파일을 제거해도 활성 기간에 관찰된 것에 대한 서버 측 기록이 지워지지는 않습니다.

이미 사용하는 소프트웨어의 업데이트 후 알림이 왔다면, 클릭하기 전에 그 버전의 릴리스 노트를 읽으십시오. 공급업체는 버전 사이에 확장 구조를 실제로 바꾸며, 새 필터가 정기 업데이트와 함께 올 수 있습니다. 새 네트워크에 연결한 뒤 알림이 왔다면 그 시점을 증거로 보고 무엇이 바뀌었는지 점검하십시오.

짧은 기록을 남기십시오. 프로파일 이름, 확장 식별자, 운영자, 추가되었다면 인증서 지문, 그리고 날짜입니다. 다음 사람은 대화 상자의 문구가 아니라 그 연표에서 시작할 수 있습니다.