Amaran VPN Mac yang ditapis atau dipantau: apa yang dibenarkannya

Amaran itu ialah kebenaran, bukan diagnosis. Apabila macOS menyatakan bahawa sesuatu konfigurasi akan menapis atau memantau trafik, ia memberitahu anda bahawa komponen yang anda luluskan boleh melihat laluan yang dilindunginya dan bertanya sama ada itu boleh diterima. Dialog itu tidak boleh memberitahu siapa yang mengendalikan komponen, apa yang direkodkannya atau sama ada ia menyahsulit apa-apa. Jawapan itu ada dalam profil, senarai sambungan dan sijil pada mesin, jadi mulakan di situ daripada membaca semula ayat itu.

Baca pemberitahuan itu sebagai soalan skop

Setiap pemberitahuan pengaktifan menunjuk kepada dua perkara tanpa menamakannya dengan jelas: sambungan yang akan mengendalikan trafik dan konfigurasi yang menyalurkan trafik ke dalamnya. Pada macOS semasa komponen ini ialah sambungan sistem NetworkExtension, dan memasang atau mengaktifkan satu daripadanya memerlukan kelulusan dalam Tetapan Sistem. Kata-katanya kekal luas kerana sistem pengendalian tidak dapat mengetahui sama ada yang meluluskan ialah jabatan IT, VPN langganan atau agen penapisan yang datang bersama sesuatu yang lain.

Sebab itu teks yang sama meliputi tiga susunan berbeza. Mac terurus menerima profil daripada pengurusan peranti, Mac peribadi mendapat konfigurasi daripada aplikasi yang anda pasang, dan produk keselamatan boleh memasang penapis yang tidak pernah memperkenalkan dirinya sebagai VPN. Tiada satu pun label itu menetapkan niat. Ia hanya memberitahu pihak mana yang perlu ditanya dahulu.

Dua arahan memisahkan kes itu dengan pantas. Yang pertama menyenaraikan sambungan sistem yang dipasang dan sama ada setiap satu aktif, yang kedua menyenaraikan profil konfigurasi bersama muatan dan organisasi penandatangannya.

systemextensionsctl list
profiles show -type configuration

Bezakan terowong daripada penapis

Terowong paket memberi Mac satu laluan dan membawa apa sahaja yang dihantar oleh jadual penghalaan ke dalamnya. Penapis kandungan berada pada tahap aliran, melihat setiap sambungan, dan boleh membenarkan, menyekat atau mengalihkannya. Sesuatu produk boleh menyediakan kedua-duanya sekali gus, dan amaran itu tidak berubah apabila ia berbuat demikian. Perbezaannya penting kerana bukti yang boleh anda kumpulkan dan kegagalan yang akan anda lihat adalah berbeza.

Periksa kategori sambungan, bukan nama pemasaran. Terowong biasanya muncul sebagai konfigurasi VPN dan sebagai sambungan rangkaian, manakala penapis mungkin tidak mempunyai sebarang perkhidmatan VPN. Jika produk menawarkan kedua-dua mod, konfigurasi aktif memilih satu, dan bertukar mod boleh mengubah apa yang dilindungi tanpa menukar vendor.

Senarai perkhidmatan VPN ialah cara terpantas untuk melihat sama ada terowong wujud. Penapis yang bukan VPN tidak akan muncul di dalamnya, dan itu sendiri maklumat berguna.

scutil --nc list

Lencana bersambung bukan bukti liputan. Aplikasi boleh dikecualikan oleh peraturan setiap aplikasi, dan trafik ke rangkaian setempat sering memintas terowong secara reka bentuk. Apabila satu aplikasi berkelakuan seolah-olah tidak diawasi, syaki laluan atau pengecualian sebelum menganggap pemantau itu rosak.

Apa yang diketahui pengendali tanpa membaca muatan

Metadata bukan hadiah penghibur. Alamat, port, nama DNS, masa sambungan, kiraan bait dan identiti yang disahkan semuanya kelihatan kepada komponen di laluan itu. Lawatan berulang ke satu hos pada jam yang sama membina rutin, dan rutin boleh memberitahu lebih daripada satu halaman.

Itulah jawapan jujur kepada soalan biasa. Pengendali boleh melihat di mana dan bila, walaupun kandungan kekal dimeterai.

Keterlihatan muatan memerlukan perubahan kedua yang lebih lantang. Sesi HTTPS yang disahkan dengan betul kekal legap kepada terowong atau penapis aliran, begitu juga fail setempat dan trafik yang tidak pernah masuk ke laluan yang dilindungi. Membaca badan halaman memerlukan pihak berkuasa sijil yang sudah dipercayai oleh Mac, iaitu sijil pemintasan yang dipasang dengan kelulusannya sendiri. Langkah itu memindahkan sempadan daripada metadata kepada kandungan dan wajar diteliti secara berasingan.

Skop juga berhenti pada peranti. Terowong pada satu komputer riba tidak meliputi telefon, tablet atau mesin orang lain pada Wi-Fi yang sama, dan klien korporat tidak boleh menyenaraikan pelanggan kafe yang lain. Perisian pengurusan peranti boleh mengumpul lebih daripada yang didedahkan oleh terowong, tetapi itu kawalan berasingan dengan pemilik dasar yang berbeza.

Periksa stor sijil sebelum panik

Akar yang dipercayai ialah perbezaan antara menonton trafik dan membacanya. Periksa rantai kunci sistem untuk pihak berkuasa yang tidak anda kenali, dan catat mana-mana yang muncul sekitar masa pemberitahuan itu. Mac terurus boleh membawa akar pemeriksaan yang ditolak oleh majikan secara sah, dan ketika itu perbualan itu milik pentadbir. Mac peribadi yang memperolehnya secara tidak sengaja mempunyai penemuan yang wajar ditindaklanjuti. Catat nama umum, pengeluar dan tarikh penambahan supaya soalan itu boleh dijawab kemudian.

Bandingkan senarai itu dengan apa yang dilaporkan oleh pengurusan peranti. Jika senarai profil dan senarai sijil tidak sepadan, senarai sijil yang menentukan apa yang akan diterima oleh Mac.

Dua arahan meliputi sebahagian besar pemeriksaan. Yang pertama mencetak profil konfigurasi; yang kedua mencetak sijil dalam rantai kunci sistem yang diuruskan oleh pentadbir, tempat akar yang ditambah biasanya mendarat.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Akar standard Apple tinggal dalam rantai kunci berasingan dan bukan kebimbangan di sini. Hasil kosong daripada arahan kedua adalah lazim pada Mac peribadi. Hasil yang berisi wajar dibaca subjek demi subjek sebelum anda mengabaikannya.

Putuskan, kemudian catat sebabnya

Kelulusan adalah munasabah apabila anda boleh menamakan pengendali, komponen dan sebabnya, dan apabila permintaan itu sepadan dengan pilihan yang anda atau organisasi anda buat. Siasatan ialah respons yang betul apabila pemberitahuan datang tanpa konteks, terutamanya selepas perubahan rangkaian atau pemasangan yang tidak berkaitan. Putuskan sambungan dahulu, tangkap pengecam profil dan sambungan, kemudian putuskan. Penyingkiran ialah laluan ketiga, dan ia memulihkan penghalaan terdahulu tanpa menyentuh akaun.

Layan persetujuan dan penyingkiran sebagai keputusan berasingan yang dibuat pada masa berbeza. Meluluskan penapis hari ini tidak mengikat anda untuk menyimpannya, dan menyingkirkan profil tidak memadamkan rekod sebelah pelayan tentang apa yang diperhatikan semasa ia aktif.

Jika pemberitahuan menyusuli kemas kini perisian yang anda sudah jalankan, baca nota keluaran versi itu sebelum mengklik. Vendor memang mengubah seni bina sambungan antara keluaran, dan penapis baharu boleh datang dengan kemas kini rutin. Jika pemberitahuan menyusuli sambungan ke rangkaian baharu, layan masanya sebagai bukti dan periksa apa yang berubah.

Simpan rekod ringkas: nama profil, pengecam sambungan, pengendali, cap jari sijil jika ada yang ditambah, dan tarikhnya. Orang seterusnya boleh bermula daripada garis masa itu dan bukannya daripada kata-kata dialog.