फिल्टर केलेल्या किंवा देखरेखीखालील Mac VPN ची चेतावणी: ती कशाला परवानगी देते
macOS ची सूचना ही झाकलेल्या मार्गावर ऑपरेटर काय तपासू शकतो याबद्दलची संमती विनंती आहे, मालवेअरबद्दलचा निवाडा नाही आणि तुमचा रहदारी डिक्रिप्ट होत असल्याचा पुरावा नाही.
ती चेतावणी परवानगी आहे, निदान नाही. जेव्हा macOS सांगते की एखादे कॉन्फिगरेशन रहदारी फिल्टर करेल किंवा देखरेख करेल, तेव्हा तुम्ही मंजूर केलेला घटक त्याचा झाकलेला मार्ग पाहू शकतो आणि ते स्वीकारार्ह आहे का असे विचारते. संवाद तुम्हाला सांगू शकत नाही की घटक कोण चालवतो, काय नोंदवतो किंवा काही डिक्रिप्ट करतो का. ती उत्तरे प्रोफाइल, एक्स्टेंशन यादी आणि मशीनवरील प्रमाणपत्रांमध्ये आहेत, म्हणून वाक्य पुन्हा वाचण्याऐवजी तिथून सुरुवात करा.
सूचना व्याप्तीचा प्रश्न म्हणून वाचा
प्रत्येक सक्रियकरण सूचना दोन गोष्टींकडे स्पष्ट नाव न देता निर्देश करते: रहदारी हाताळणारे एक्स्टेंशन आणि रहदारी त्यात नेणारे कॉन्फिगरेशन. सध्याच्या macOS मध्ये हे घटक NetworkExtension सिस्टम एक्स्टेंशन आहेत, आणि एक स्थापित किंवा सक्रिय करण्यासाठी सिस्टम सेटिंग्जमध्ये मंजूरी लागते. शब्दरचना व्यापक राहते कारण मंजूरी देणारा कोणी आयटी विभाग, सदस्यत्व VPN की दुसऱ्या कशासोबत येणारा फिल्टरिंग एजंट आहे हे ऑपरेटिंग सिस्टमला कळू शकत नाही.
म्हणूनच तोच मजकूर तीन वेगळ्या रचना व्यापतो. व्यवस्थापित Mac ला डिव्हाइस व्यवस्थापनाकडून प्रोफाइल मिळते, वैयक्तिक Mac ला तुम्ही स्थापित केलेल्या ॲॅपकडून कॉन्फिगरेशन मिळते, आणि सुरक्षा उत्पादन स्वतःला कधीही VPN म्हणून सादर न करणारा फिल्टर स्थापित करू शकते. यापैकी कोणतेही लेबल हेतू ठरवत नाही. ते फक्त पहिले कोणत्या बाजूस विचारावे हे सांगतात.
दोन आदेश ही प्रकरणे पटकन वेगळी करतात. पहिला स्थापित सिस्टम एक्स्टेंशन आणि प्रत्येक सक्रिय आहे का ते सूचीबद्ध करतो, दुसरा कॉन्फिगरेशन प्रोफाइल त्यांच्या पेलोड आणि स्वाक्षरी करणाऱ्या संस्थेसह सूचीबद्ध करतो.
systemextensionsctl list
profiles show -type configurationटनेल आणि फिल्टर वेगळे ओळखा
पॅकेट टनेल Mac ला मार्ग देतो आणि राउटिंग तक्ता जे पाठवतो ते सर्व वाहून नेतो. सामग्री फिल्टर प्रवाह पातळीवर बसतो, प्रत्येक कनेक्शन पाहतो, आणि त्यास परवानगी देऊ शकतो, अडवू शकतो किंवा पुनर्निर्देशित करू शकतो. उत्पादन दोन्ही एकत्र देऊ शकते, आणि तेव्हा चेतावणी बदलत नाही. फरक महत्त्वाचा आहे कारण तुम्ही गोळा करू शकणारे पुरावे आणि दिसणारे बिघाड वेगळे असतात.
मार्केटिंग नाव नाही, एक्स्टेंशनची श्रेणी तपासा. टनेल सहसा VPN कॉन्फिगरेशन आणि नेटवर्क एक्स्टेंशन म्हणून दिसतो, तर फिल्टरकडे VPN सेवा अजिबात नसू शकते. उत्पादन दोन्ही मोड देत असल्यास सक्रिय कॉन्फिगरेशन एक निवडते, आणि मोड बदलल्याने विक्रेता न बदलता व्याप्ती बदलू शकते.
VPN सेवांची यादी टनेल आहे का हे पाहण्याचा सर्वात वेगवान मार्ग आहे. VPN नसलेला फिल्टर त्यात दिसणार नाही, आणि ते स्वतःच उपयुक्त माहिती आहे.
scutil --nc listकनेक्टेड बॅज कव्हरेजचा पुरावा नाही. ॲॅप्स प्रति-ॲॅप नियमांनी वगळता येतात, आणि स्थानिक नेटवर्ककडील रहदारी अनेकदा रचनेनुसार टनेल टाळते. जेव्हा एखादे ॲॅप देखरेख नसल्यासारखे वागते, तेव्हा मॉनिटर बिघडला असे मानण्यापूर्वी मार्ग किंवा वगळण्याची शंका घ्या.
ऑपरेटर पेलोड न वाचता काय जाणतो
मेटाडेटा सांत्वनाचे बक्षीस नाही. पत्ते, पोर्ट, DNS नावे, कनेक्शनच्या वेळा, बाइट गणना आणि प्रमाणित ओळख मार्गावरील घटकाला दिसते. एकाच वेळी एकाच होस्टला वारंवार भेटी देत राहिल्याने एक दिनचर्या तयार होते, आणि दिनचर्या एका पानापेक्षा जास्त सांगू शकते.
नेहमीच्या प्रश्नाचे हेच प्रामाणिक उत्तर आहे. सामग्री शिक्कामोर्तब राहिली तरी ऑपरेटरला कुठे आणि कधी हे दिसते.
पेलोडच्या दृश्यमानतेसाठी दुसरा, अधिक जोरकस बदल लागतो. योग्यरित्या सत्यापित HTTPS सत्र टनेल किंवा प्रवाह फिल्टरसाठी अपारदर्शक राहते, आणि स्थानिक फाइल्स तसेच झाकलेल्या मार्गात कधीही न येणारी रहदारीही तशीच. पानांचा मुख्य भाग वाचण्यासाठी Mac ज्यावर आधीच विश्वास ठेवतो असे प्रमाणपत्र प्राधिकरण, म्हणजे स्वतःच्या मंजुरीसह स्थापित केलेले अडवणूक प्रमाणपत्र लागते. ते पाऊल सीमा मेटाडेटावरून सामग्रीकडे सरकवते आणि स्वतंत्र तपासणीला पात्र आहे.
व्याप्ती उपकरणावरही थांबते. एका लॅपटॉपचे टनेल त्याच Wi-Fi वरील फोन, टॅब्लेट किंवा दुसऱ्या व्यक्तीचे मशीन व्यापत नाही, आणि कॉर्पोरेट क्लायंट कॅफेच्या इतर ग्राहकांची यादी करू शकत नाही. डिव्हाइस व्यवस्थापन सॉफ्टवेअर टनेल उघड करते त्यापेक्षा जास्त गोळा करू शकते, पण ते वेगळ्या धोरण-मालकाचे वेगळे नियंत्रण आहे.
| Artifact | Visible on the covered path | Extra step required |
|---|---|---|
| Destination address and port | Yes | None |
| DNS names and query timing | Usually | None |
| HTTPS request and response bodies | No | Trusted root certificate |
| Files already stored on the Mac | No | Endpoint agent |
| Other devices on the same Wi-Fi | No | Separate enrollment |
घाबरण्यापूर्वी प्रमाणपत्र भांडार तपासा
विश्वासार्ह मूळ हा रहदारी पाहणे आणि वाचणे यातील फरक आहे. सिस्टम कीचेनमध्ये तुम्ही ओळखत नसलेली प्राधिकरणे शोधा, आणि सूचनेच्या वेळेच्या आसपास दिसलेली नोंदवा. व्यवस्थापित Mac कायदेशीरपणे नियोक्त्याने पाठवलेले तपासणी मूळ बाळगू शकते, आणि मग संभाषण प्रशासकाचे असते. अपघाताने एक मिळालेल्या वैयक्तिक Mac कडे कृतीला पात्र अशी नोंद आहे. सामान्य नाव, जारीकर्ता आणि जोडल्याची तारीख लिहा जेणेकरून प्रश्नाला नंतर उत्तर देता येईल.
ती यादी डिव्हाइस व्यवस्थापन जे कळवते त्याशी तुलना करा. प्रोफाइल यादी आणि प्रमाणपत्र यादी जुळत नसल्यास, Mac काय स्वीकारेल हे प्रमाणपत्र यादी ठरवते.
दोन आदेश तपासणीचा बहुतांश भाग व्यापतात. पहिला कॉन्फिगरेशन प्रोफाइल छापतो; दुसरा प्रशासकाने व्यवस्थापित सिस्टम कीचेनमधील प्रमाणपत्रे छापतो, जोडलेले मूळ सहसा तिथेच येते.
profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychainApple ची मानक मुळे वेगळ्या कीचेनमध्ये असतात आणि इथे चिंतेचा विषय नाहीत. दुसऱ्या आदेशाचा रिकामा निकाल वैयक्तिक Mac वर सामान्य आहे. भरलेला निकाल बाजूला टाकण्यापूर्वी विषय-विषय वाचण्यास पात्र आहे.
ठरवा, मग कारण लिहा
ऑपरेटर, घटक आणि कारण नाव देऊ शकत असल्यास, आणि विनंती तुम्ही किंवा तुमच्या संस्थेने घेतलेल्या निवडीशी जुळत असल्यास मंजुरी योग्य आहे. सूचना संदर्भाशिवाय आल्यास, विशेषतः नेटवर्क बदल किंवा असंबंधित स्थापनेनंतर, तपास ही योग्य प्रतिक्रिया आहे. आधी डिस्कनेक्ट करा, प्रोफाइल ओळखणी आणि एक्स्टेंशन नोंदवा, मग ठरवा. काढून टाकणे हा तिसरा मार्ग आहे, आणि तो खात्याला स्पर्श न करता पूर्वीचे राउटिंग पुनर्संचयित करते.
संमती आणि काढून टाकणे हे वेगवेगळ्या वेळी घेतलेले स्वतंत्र निर्णय माना. आज फिल्टर मंजूर केल्याने तो ठेवण्याचे बंधन पडत नाही, आणि प्रोफाइल काढून टाकल्याने तो सक्रिय असताना जे निरीक्षण झाले त्याचे सर्व्हर-बाजूचे रेकॉर्ड पुसले जात नाहीत.
तुम्ही आधीच चालवत असलेल्या सॉफ्टवेअरच्या अद्ययावतानंतर सूचना आली असेल, तर क्लिक करण्यापूर्वी त्या आवृत्तीच्या प्रकाशन टिप्पण्या वाचा. विक्रेते आवृत्त्यांमध्ये एक्स्टेंशन स्थापत्य बदलतात, आणि नवीन फिल्टर नियमित अद्ययावतासोबत येऊ शकतो. नव्या नेटवर्कशी जोडल्यानंतर सूचना आली असेल, तर वेळेला पुरावा मानून काय बदलले ते तपासा.
थोडी नोंद ठेवा: प्रोफाइल नाव, एक्स्टेंशन ओळखणी, ऑपरेटर, जोडले असल्यास प्रमाणपत्राची बोटांची खूण, आणि तारीख. पुढील व्यक्ती संवादाच्या शब्दरचनेऐवजी त्या कालरेषेपासून सुरुवात करू शकते.