Предупредување за филтриран или надгледуван Mac VPN: што дозволува
Известувањето на macOS е барање за согласност за тоа што операторот може да провери на покриената патека, а не пресуда за злонамерен софтвер и не доказ дека вашиот сообраќај се дешифрира.
Ова предупредување е дозвола, не дијагноза. Кога macOS вели дека конфигурацијата ќе го филтрира или надгледува сообраќајот, тоа ви кажува дека компонента што сте ја одобриле ја гледа патеката што ја покрива, и прашува дали тоа е прифатливо. Дијалогот не може да ви каже кој ја управува компонентата, што запишува или дали нешто дешифрира. Тие одговори се во профилот, списокот со екстензии и сертификатите на машината, затоа почнете оттаму наместо повторно да ја читате реченицата.
Читајте го известувањето како прашање за опфат
Секое известување за активирање укажува на две работи без јасно да ги именува: екстензијата што ќе го обработува сообраќајот и конфигурацијата што го насочува сообраќајот кон неа. На тековниот macOS овие компоненти се системски екстензии на NetworkExtension, а инсталирањето или активирањето на една бара одобрување во системските поставки. Формулацијата останува широка затоа што оперативниот систем не може да знае дали оној што одобрува е ИТ оддел, претплатен VPN или агент за филтрирање што доаѓа со нешто друго.
Затоа истиот текст покрива три различни поставености. Управуван Mac добива профил од управувањето со уреди, личен Mac добива конфигурација од апликација што сте ја инсталирале, а безбедносен производ може да инсталира филтер што никогаш не се претставува како VPN. Ниту една од тие ознаки не ја решава намерата. Тие само кажуваат која страна да ја прашате прва.
Две наредби брзо ги одделуваат тие случаи. Првата ги наведува инсталираните системски екстензии и дали секоја е активна, а втората ги наведува конфигурациските профили со нивните товари и организацијата што ги потпишала.
systemextensionsctl list
profiles show -type configurationРазликувајте тунел од филтер
Пакетниот тунел му дава на Mac патека и го носи сето она што табелата за рутирање го праќа во него. Филтерот за содржина стои на ниво на тек, ја гледа секоја врска и може да ја дозволи, блокира или пренасочи. Производот може да ги доставува двете одеднаш, и предупредувањето тогаш не се менува. Разликата е важна затоа што доказите што можете да ги соберете и дефектите што ќе ги видите се различни.
Проверете ја категоријата на екстензијата, а не маркетиншкото име. Тунелот обично се појавува како VPN конфигурација и како мрежна екстензија, додека филтерот може воопшто да нема VPN услуга. Ако производот нуди два режима, активната конфигурација избира еден, а промената на режимот може да го смени покриеното без да го смени добавувачот.
Списокот со VPN услуги е најбрзиот начин да се види дали постои тунел. Филтер што не е VPN нема да се појави во него, што само по себе е корисна информација.
scutil --nc listОзнаката за поврзано не е доказ за покриеност. Апликациите можат да бидат исклучени со правила за секоја апликација, и сообраќајот кон локалните мрежи често по дизајн го заобиколува тунелот. Кога една апликација се однесува како да не е надгледувана, посомневајте се во патека или исклучок пред да претпоставите дека мониторот е расипан.
Што учи операторот без да чита товари
Метаподатоците не се утешна награда. Адресите, портите, DNS имињата, времињата на поврзување, бројот на бајти и автентицираниот идентитет се видливи за компонентата на патеката. Повторените посети на еден домаќин во истиот час градат рутина, а рутината може да каже повеќе од една страница.
Тоа е чесниот одговор на вообичаеното прашање. Операторот може да види каде и кога, дури и кога содржината останува запечатена.
Видливоста на содржината бара втора, погласна промена. Правилно валидирана HTTPS сесија останува непрозирна за тунел или филтер на тек, како и локалните датотеки и сообраќајот што никогаш не влегува на покриената патека. Читањето на телата на страниците бара сертификациско тело во кое Mac веќе верува, односно сертификат за пресретнување инсталиран со сопствено одобрување. Тој чекор ја поместува границата од метаподатоци кон содржина и заслужува одделно разгледување.
Опфатот запира и кај уредот. Тунел на еден преносен сметач не покрива телефон, таблет или машина на друго лице на истото Wi-Fi, а корпоративен клиент не може да ги попише другите гости на кафето. Софтверот за управување со уреди може да собере повеќе отколку што открива тунелот, но тоа е одделна контрола со друг сопственик на политиката.
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
Прегледајте го складиштето на сертификати пред да паничите
Доверлив корен е разликата помеѓу гледање на сообраќајот и негово читање. Прегледајте го системскиот приврзок со клучеви за тела што не ги препознавате, и забележете ги оние што се појавија околу времето на известувањето. Управуван Mac може законски да носи корен за инспекција што го испратил работодавачот, и тогаш разговорот му припаѓа на администраторот. Личен Mac што добил таков случајно има наод што вреди да се дејствува. Запишете го општото име, издавачот и датумот на додавање за да може прашањето да се одговори подоцна.
Споредете го тој список со она што го известува управувањето со уреди. Ако списокот со профили и списокот со сертификати не се совпаѓаат, списокот со сертификати е тој што одлучува што ќе прифати Mac.
Две наредби го покриваат најголемиот дел од проверката. Првата ги печати конфигурациските профили; втората ги печати сертификатите во системскиот приврзок со клучеви управуван од администраторот, каде што обично слетува додадениот корен.
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainСтандардните корени на Apple живеат во одделен приврзок со клучеви и не се грижата овде. Празен резултат од втората наредба е вообичаен на личен Mac. Пополнет резултат заслужува читање предмет по предмет пред да го отфрлите.
Одлучете, потоа запишете зошто
Одобрувањето е разумно кога можете да ги именувате операторот, компонентата и причината, и кога барањето одговара на избор што сте го направиле вие или вашата организација. Истрагата е вистинскиот одговор кога известувањето доаѓа без контекст, особено по промена на мрежа или неповрзана инсталација. Прво исклучете се, забележете го идентификаторот на профилот и екстензијата, потоа одлучете. Отстранувањето е трет пат, и тоа го враќа претходното рутирање без допирање на сметката.
Третирајте ја согласноста и отстранувањето како одделни одлуки донесени во различно време. Одобрувањето филтер денес не ве обврзува да го задржите, а отстранувањето профил не ги брише серверските записи за она што е забележано додека бил активен.
Ако известувањето следеше ажурирање на софтвер што веќе го користите, прочитајте ги белешките за изданието на таа верзија пред да кликнете. Добавувачите навистина ја менуваат архитектурата на екстензиите помеѓу изданијата, и нов филтер може да дојде со рутинско ажурирање. Ако известувањето следеше поврзување со нова мрежа, третирајте го времето како доказ и проверете што се сменило.
Водете краток запис: име на профилот, идентификатор на екстензијата, оператор, отпечаток на сертификатот ако е додаден, и датумот. Следното лице може да почне од таа временска линија наместо од формулацијата на дијалог.