Шүүгдсэн эсвэл хянагдаж буй Mac VPN-ийн анхааруулга: юуг зөвшөөрдөг

Тэр анхааруулга бол зөвшөөрөл, онош биш. macOS тохиргоо урсгалыг шүүнэ эсвэл хянана гэж мэдэгдэхдээ таны зөвшөөрсөн бүрэлдэхүүн өөрийн хамрах замыг харж чадна гэж хэлж, үүнийг хүлээн зөвшөөрөх эсэхийг асууна. Харилцах цонх бүрэлдэхүүнийг хэн ажиллуулдаг, юу бүртгэдэг, эсвэл ямар нэг зүйлийг задалдаг эсэхийг хэлж чадахгүй. Эдгээр хариулт профайл, өргөтгөлийн жагсаалт, машины гэрчилгээнд байдаг тул өгүүлбэрийг дахин уншихын оронд тэндээс эхэл.

Мэдэгдлийг хамрах хүрээний асуулт гэж уншина уу

Идэвхжүүлэх мэдэгдэл бүр хоёр зүйлийг тодорхой нэрлэхгүйгээр заадаг: урсгалыг боловсруулах өргөтгөл, урсгалыг түүн рүү чиглүүлэх тохиргоо. Одоогийн macOS-д эдгээр бүрэлдэхүүн нь NetworkExtension системийн өргөтгөл бөгөөд аль нэгийг суулгах эсвэл идэвхжүүлэх нь Системийн тохиргоонд зөвшөөрөл шаардана. Үг хэллэг нь өргөн хэвээр байдаг, учир нь үйлдлийн систем зөвшөөрөл өгч байгаа нь IT хэлтэс, захиалгат VPN эсвэл өөр зүйлтэй хамт ирдэг шүүлтийн агент эсэхийг мэдэж чадахгүй.

Тиймээс нэг эх бичвэр гурван өөр зохион байгуулалтыг хамарна. Удирдлагатай Mac профайлыг төхөөрөмжийн удирдлагаас авна, хувийн Mac тохиргоог таны суулгасан аппаас авна, аюулгүйн бүтээгдэхүүн өөрийгөө хэзээ ч VPN гэж танилцуулдаггүй шүүлт суулгаж болно. Эдгээр шошгоны аль нь ч санаа зорилгыг шийдэхгүй. Зөвхөн аль талаас эхлээд асуухыг хэлнэ.

Хоёр команд эдгээр тохиолдлыг хурдан ялгана. Эхнийх нь суулгасан системийн өргөтгөл, тэдгээрийн идэвхтэй эсэхийг жагсаана, хоёр дахь нь тохиргооны профайлыг ачаалал, гарын үсэг зурсан байгууллагын хамт жагсаана.

systemextensionsctl list
profiles show -type configuration

Туннелийг шүүлтээс ялга

Багц туннель Mac-д зам өгч, маршрутын хүснэгтээс илгээсэн бүгдийг зөөнө. Агуулгын шүүлт урсгалын түвшинд сууж, холболт бүрийг харж, зөвшөөрөх, блоклох эсвэл өөр тийш чиглүүлэх боломжтой. Бүтээгдэхүүн хоёуланг нь зэрэг санал болгож болно, тэгэхэд анхааруулга өөрчлөгдөхгүй. Ялгаа нь чухал, учир нь цуглуулж болох нотолгоо, харах алдаа нь өөр байдаг.

Маркетингийн нэр биш, өргөтгөлийн ангиллыг шалга. Туннель ихэвчлэн VPN тохиргоо, сүлжээний өргөтгөл хэлбэрээр илэрдэг бол шүүлтэд VPN үйлчилгээ огт байхгүй байж болно. Бүтээгдэхүүн хоёр горимыг санал болговол идэвхтэй тохиргоо нэгийг сонгож, горим солих нь нийлүүлэгчийг солихгүйгээр хамрах хүрээг өөрчилж болно.

VPN үйлчилгээний жагсаалт туннель байгаа эсэхийг харах хамгийн хурдан арга. VPN биш шүүлт тэнд харагдахгүй бөгөөд энэ нь өөрөө ашигтай мэдээлэл юм.

scutil --nc list

Холбогдсон тэмдэг нь хамрахын нотолгоо биш. Аппуудыг апп тус бүрийн дүрмээр хасаж болох бөгөөд локал сүлжээ рүү чиглэсэн урсгал нь ихэвчлэн зохион бүтээлтээр туннелийг тойрдог. Нэг апп хяналтгүй мэт аашлах үед хянагч эвдэрсэн гэж бодохоос өмнө зам эсвэл хасалтад сэжиглэ.

Оператор ачааллыг уншихгүйгээр юу мэддэг

Мета өгөгдөл нь тайтгарлын шагнал биш. Хаяг, порт, DNS нэр, холболтын цаг, байтын тоо, баталгаажсан хэн болох нь зам дээрх бүрэлдэхүүнд харагдана. Нэг хост руу нэг цагт давтан зочлох нь дадал бүрдүүлдэг, дадал нэг хуудаснаас илүүг хэлж чадна.

Энэ бол ердийн асуултын шударга хариулт. Агуулга битүүмжлэгдсэн хэвээр байсан ч оператор хаана, хэзээ гэдгийг харж чадна.

Ачааллын харагдах байдал нь хоёр дахь, илүү чанга өөрчлөлтийг шаардана. Зөв баталгаажсан HTTPS сесс туннель эсвэл урсгалын шүүлтэд тунгалаг бус хэвээр үлддэг, мөн локал файл, хамрагдсан замд хэзээ ч ордоггүй урсгал ч мөн адил. Хуудсын агуулгыг уншихад Mac аль хэдийн итгэдэг гэрчилгээний байгууллага, өөрөөр хэлбэл өөрийн зөвшөөрлөөр суулгасан таслан сэргийлэх гэрчилгээ шаардлагатай. Энэ алхам хил хязгаарыг мета өгөгдлөөс агуулга руу зөөж, тусдаа хяналтад үнэ цэнэтэй.

Хамрах хүрээ төхөөрөмж дээр ч зогсоно. Нэг зөөврийн компьютер дээрх туннель нь ижил Wi-Fi дахь утас, таблет эсвэл өөр хүний машиныг хамахгүй, корпорацийн клиент кафены бусад үйлчлүүлэгчдийг жагсааж чадахгүй. Төхөөрөмжийн удирдлагын програм хангамж туннелиас илүү их мэдээлэл цуглуулж болох ч энэ нь өөр бодлогын эзэнтэй тусдаа хяналт юм.

Сандарч эхлэхийн өмнө гэрчилгээний санг шалга

Итгэмжлэгдсэн үндэс нь урсгалыг харах ба уншихын ялгаа юм. Системийн түлхүүрийн багцаас танихгүй байгууллагуудыг хайж, мэдэгдлийн цагийн орчимд гарч ирсэн бүгдийг тэмдэглэ. Удирдлагатай Mac ажил олгогчоос илгээсэн шалгалтын үндсийг хууль ёсоор агуулж болно, тэгвэл яриа админд хамаарна. Санамсаргүйгээр нэгийг олж авсан хувийн Mac-д арга хэмжээ авах үнэ цэнэтэй олдвор бий. Ерөнхий нэр, гаргагч, нэмсэн огноог бичиж үлдээ, дараа нь асуултад хариулах боломжтой болно.

Энэ жагсаалтыг төхөөрөмжийн удирдлагын мэдээлэлтэй харьцуул. Профайлын жагсаалт ба гэрчилгээний жагсаалт таарахгүй бол Mac юуг хүлээн авахыг гэрчилгээний жагсаалт шийднэ.

Хоёр команд шалгалтын ихэнхийг хамарна. Эхнийх нь тохиргооны профайлыг хэвлэнэ; хоёр дахь нь админы удирддаг системийн түлхүүрийн багц дахь гэрчилгээг хэвлэнэ, нэмсэн үндэс ихэвчлэн тэнд буудаг.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Apple-ийн стандарт үндэс нь тусдаа түлхүүрийн багцад амьдардаг бөгөөд энд санаа зовох зүйл биш. Хоёр дахь командаас хоосон үр дүн хувийн Mac-д түгээмэл. Дүүрэн үр дүн нь хаяхын өмнө сэдэв тус бүрээр унших үнэ цэнэтэй.

Шийд, дараа нь яагаад гэдгийг бич

Зөвшөөрөл нь оператор, бүрэлдэхүүн, шалтгааныг нэрлэж чадвал, мөн хүсэлт таны эсвэл байгууллагын тань хийсэн сонголттой тохирвол үндэслэлтэй. Мэдэгдэл контекстгүй ирэх үед, ялангуяа сүлжээ сольсны дараа эсвэл холбоогүй суулгацын дараа мөрдөн шалгах нь зөв хариу. Эхлээд холболтыг салга, профайлын танихуур болон өргөтгөлийг тэмдэглэ, дараа нь шийд. Устгах нь гурав дахь зам бөгөөд бүртгэлд хүрэхгүйгээр өмнөх маршрутыг сэргээнэ.

Зөвшөөрөл ба устгалыг өөр өөр цагт гаргасан тусдаа шийдвэр гэж үз. Өнөөдөр шүүлт зөвшөөрөх нь түүнийг барих үүрэг хүлээхгүй, профайл устгах нь идэвхтэй байх хугацаанд ажиглагдсаны сервер талын бүртгэлийг арилгахгүй.

Хэрэв мэдэгдэл таны аль хэдийн ажиллуулж буй программын шинэчлэлтийн дараа ирсэн бол товшихын өмнө тэр хувилбарын гаргацын тэмдэглэлийг унш. Нийлүүлэгчид хувилбаруудын хооронд өргөтгөлийн архитектурыг үнэхээр өөрчилдөг бөгөөд шинэ шүүлт ердийн шинэчлэлтэй ирж болно. Хэрэв мэдэгдэл шинэ сүлжээнд холбогдсоны дараа ирсэн бол цагийг нотолгоо гэж үзэж, юу өөрчлөгдсөнийг шалга.

Богино бүртгэл хөтөл: профайлын нэр, өргөтгөлийн танихуур, оператор, нэмсэн бол гэрчилгээний хурууны хээ, огноо. Дараагийн хүн харилцах цонхны үг хэллэгээс биш, тэр он цагийн хэлхээсээс эхэлж болно.