Įspėjimas apie filtruojamą ar stebimą „Mac“ VPN: ką jis leidžia

Tas įspėjimas yra leidimas, o ne diagnozė. Kai „macOS“ praneša, kad konfigūracija filtruos ar stebės srautą, jis sako, kad jūsų patvirtintas komponentas mato jo dengiamą kelią, ir klausia, ar tai priimtina. Dialogas negali pasakyti, kas valdo komponentą, ką jis įrašo ar ką nors iššifruoja. Tie atsakymai yra profilyje, plėtinių sąraše ir mašinos sertifikatuose, todėl pradėkite ten, o ne nuo sakinio perklausymo.

Skaitykite pranešimą kaip apimties klausimą

Kiekvienas aktyvavimo pranešimas nurodo du dalykus aiškiai jų neįvardindamas: plėtinį, kuris tvarkys srautą, ir konfigūraciją, kuri nukreipia srautą į jį. Dabartinėje „macOS“ tai yra „NetworkExtension“ sistemos plėtiniai, o vieno įdiegimas ar aktyvavimas reikalauja patvirtinimo sistemos nustatymuose. Formuluotė lieka plati, nes operacinė sistema negali žinoti, ar patvirtinantysis yra IT skyrius, prenumeruojamas VPN ar filtravimo agentas, einantis su kuo nors kitu.

Todėl tas pats tekstas apima tris skirtingas situacijas. Valdomas „Mac“ gauna profilį iš įrenginių valdymo, asmeninis „Mac“ gauna konfigūraciją iš jūsų įdiegtos programos, o saugumo produktas gali įdiegti filtrą, kuris niekada neprisistato kaip VPN. Nė viena iš šių etikečių nenusprendžia ketinimo. Jos tik nurodo, ko pirmiausia klausti.

Dvi komandos greitai atskiria šiuos atvejus. Pirmoji išvardija įdiegtus sistemos plėtinius ir ar kiekvienas aktyvus, antroji – konfigūracijos profilius su jų turiniu ir pasirašiusia organizacija.

systemextensionsctl list
profiles show -type configuration

Atskirkite tunelį nuo filtro

Paketų tunelis suteikia „Mac“ maršrutą ir perneša viską, ką maršrutizavimo lentelė į jį siunčia. Turinio filtras stovi srauto lygmenyje, mato kiekvieną ryšį ir gali jį leisti, blokuoti ar nukreipti kitaip. Produktas gali tiekti abu iš karto, ir įspėjimas tada nesikeičia. Skirtumas svarbus, nes įrodymai, kuriuos galite surinkti, ir gedimai, kuriuos pamatysite, skiriasi.

Tikrinkite plėtinio kategoriją, o ne rinkodaros pavadinimą. Tunelis paprastai pasirodo kaip VPN konfigūracija ir kaip tinklo plėtinys, o filtras gali visai neturėti VPN paslaugos. Jei produktas siūlo abu režimus, aktyvioji konfigūracija pasirenka vieną, o režimo keitimas gali pakeisti dengiamą sritį nekeisdamas tiekėjo.

VPN paslaugų sąrašas yra greičiausias būdas pamatyti, ar tunelis egzistuoja. Filtras, kuris nėra VPN, jame nepasirodys, o tai savaime yra naudinga informacija.

scutil --nc list

Prisijungta žymė nėra aprėpties įrodymas. Programos gali būti išskirtos kiekvienos programos taisyklėmis, ir srautas į vietinius tinklus dažnai pagal konstrukciją apeina tunelį. Kai viena programa elgiasi tarsi nebūtų stebima, įtarkite maršrutą ar išskyrimą, prieš manydami, kad stebėjimas sugedo.

Ką operatorius sužino neskaitęs turinio

Metaduomenys nėra paguodos prizas. Adresai, prievadai, DNS pavadinimai, prisijungimo laikai, baitų skaičiai ir autentifikuota tapatybė yra matomi kelyje esančiam komponentui. Pakartotiniai apsilankymai pas tą patį prieglobėją tą pačią valandą kuria rutiną, o rutina gali pasakyti daugiau nei vienas puslapis.

Tai sąžiningas atsakymas į įprastą klausimą. Operatorius mato kur ir kada, net kai turinys lieka užantspauduotas.

Turinio matomumui reikia antro, garsesnio pokyčio. Teisingai patvirtinta HTTPS sesija lieka nepermatoma tuneliui ar srauto filtrui, taip pat vietiniai failai ir srautas, kuris niekada nepatenka į dengiamą kelią. Puslapių turiniui skaityti reikia sertifikavimo institucijos, kuria „Mac“ jau pasitiki, tai yra perėmimo sertifikato, įdiegto su atskiru patvirtinimu. Šis žingsnis perkelia ribą nuo metaduomenų prie turinio ir nusipelno atskiro nagrinėjimo.

Apimtis taip pat sustoja ties įrenginiu. Vieno nešiojamojo kompiuterio tunelis neapima telefono, planšetės ar kito asmens mašinos tame pačiame Wi-Fi tinkle, o įmonės klientas negali inventorizuoti kitų kavinės lankytojų. Įrenginių valdymo programinė įranga gali surinkti daugiau, nei atskleidžia tunelis, bet tai atskira kontrolė su kitu politikos savininku.

Patikrinkite sertifikatų saugyklą prieš panikuodami

Patikima šaknis yra skirtumas tarp srauto stebėjimo ir jo skaitymo. Patikrinkite sistemos raktų saugyklą dėl institucijų, kurių nepažįstate, ir pažymėkite tas, kurios pasirodė maždaug pranešimo metu. Valdomas „Mac“ gali teisėtai turėti darbdavio įstumtą tikrinimo šaknį, ir tada pokalbis priklauso administratoriui. Asmeninis „Mac“, kuris ją gavo atsitiktinai, turi radinį, kuriuo verta imtis veiksmų. Užrašykite bendrą pavadinimą, išdavėją ir pridėjimo datą, kad į klausimą būtų galima atsakyti vėliau.

Palyginkite tą sąrašą su tuo, ką praneša įrenginių valdymas. Jei profilių sąrašas ir sertifikatų sąrašas nesutampa, sertifikatų sąrašas nusprendžia, ką „Mac“ priims.

Dvi komandos apima didžiąją dalį patikros. Pirmoji atspausdina konfigūracijos profilius; antroji atspausdina sertifikatus administratoriaus valdomame sistemos raktų saugykloje, kur paprastai atsiduria pridėta šaknis.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Standartinės „Apple“ šaknys gyvena atskiroje raktų saugykloje ir čia nekelia susirūpinimo. Tuščias antrosios komandos rezultatas įprastas asmeniniame „Mac“. Užpildytas rezultatas nusipelno subjekto po subjekto skaitymo, prieš jį atmetant.

Nuspręskite, tada užrašykite kodėl

Patvirtinimas yra pagrįstas, kai galite įvardyti operatorių, komponentą ir priežastį, ir kai prašymas atitinka jūsų ar jūsų organizacijos pasirinkimą. Tyrimas yra tinkama reakcija, kai pranešimas ateina be konteksto, ypač po tinklo pakeitimo ar nesusijusio įdiegimo. Pirmiausia atjunkite, užfiksuokite profilio identifikatorių ir plėtinį, tada nuspręskite. Pašalinimas yra trečias kelias, ir jis atkuria ankstesnį maršrutizavimą neliesdamas paskyros.

Traktuokite sutikimą ir pašalinimą kaip atskirus sprendimus, priimtus skirtingu metu. Šiandien patvirtinus filtrą neįpareigoja jo laikyti, o profilio pašalinimas neištrina serverio įrašų apie tai, kas buvo stebėta, kol jis buvo aktyvus.

Jei pranešimas pasirodė po jau naudojamos programinės įrangos atnaujinimo, prieš spustelėdami perskaitykite tos versijos leidimo pastabas. Tiekėjai tikrai keičia plėtinių architektūrą tarp versijų, ir naujas filtras gali atkeliauti su įprastu atnaujinimu. Jei pranešimas pasirodė po prisijungimo prie naujo tinklo, laikykite laiką įrodymu ir patikrinkite, kas pasikeitė.

Laikykite trumpą įrašą: profilio pavadinimas, plėtinio identifikatorius, operatorius, sertifikato pirštų atspaudas, jei jis buvo pridėtas, ir data. Kitas žmogus gali pradėti nuo šios chronologijos, o ne nuo dialogo formuluotės.