Waarschuwing over gefilterde of bewaakte Mac-VPN: wat die toestaat

Die waarschuwing is een toestemming, geen diagnose. Wanneer macOS meldt dat een configuratie het verkeer gaat filteren of bewaken, zegt het dat een door u goedgekeurd onderdeel het pad ziet dat het dekt, en vraagt het of dat aanvaardbaar is. De dialoog kan u niet vertellen wie het onderdeel beheert, wat het vastlegt of het iets ontsleutelt. Die antwoorden staan in het profiel, de uitbreidingslijst en de certificaten op de machine, dus begin daar in plaats van de zin opnieuw te lezen.

Lees de melding als een vraag over de reikwijdte

Elke activeringsmelding wijst op twee dingen zonder ze duidelijk te benoemen: de uitbreiding die het verkeer afhandelt en de configuratie die het verkeer daarheen leidt. Op het huidige macOS zijn deze onderdelen NetworkExtension-systeemuitbreidingen, en het installeren of activeren van een ervan vereist goedkeuring in Systeeminstellingen. De formulering blijft breed omdat het besturingssysteem niet kan weten of de goedkeurder een IT-afdeling, een abonnements-VPN of een filteragent is die met iets anders meekomt.

Daarom dekt dezelfde tekst drie verschillende opstellingen. Een beheerde Mac krijgt een profiel van apparaatbeheer, een persoonlijke Mac krijgt een configuratie van een app die u hebt geïnstalleerd, en een beveiligingsproduct kan een filter installeren dat zich nooit als VPN presenteert. Geen van die labels beslecht de bedoeling. Ze zeggen alleen welke partij u eerst moet vragen.

Twee opdrachten scheiden die gevallen snel. De eerste somt geïnstalleerde systeemuitbreidingen op en of elk actief is, de tweede somt configuratieprofielen op met hun payloads en de ondertekenende organisatie.

systemextensionsctl list
profiles show -type configuration

Onderscheid een tunnel van een filter

Een pakkettunnel geeft de Mac een route en draagt alles wat de routingtabel erin stuurt. Een inhoudsfilter zit op stroomniveau, ziet elke verbinding en kan die toestaan, blokkeren of omleiden. Een product kan beide tegelijk leveren, en de waarschuwing verandert dan niet. Het verschil is belangrijk omdat de bewijzen die u kunt verzamelen en de storingen die u zult zien verschillen.

Controleer de categorie van de uitbreiding, niet de marketingnaam. Een tunnel verschijnt meestal als VPN-configuratie en als netwerkuitbreiding, terwijl een filter helemaal geen VPN-dienst hoeft te hebben. Biedt het product beide modi, dan kiest de actieve configuratie er één, en het wisselen van modus kan het gedekte gebied veranderen zonder de leverancier te wijzigen.

De lijst met VPN-diensten is de snelste manier om te zien of er een tunnel is. Een filter dat geen VPN is, verschijnt daar niet in, wat op zich nuttige informatie is.

scutil --nc list

Een verbonden-badge is geen bewijs van dekking. Apps kunnen worden uitgesloten met regels per app, en verkeer naar lokale netwerken omzeilt de tunnel vaak door ontwerp. Wanneer één toepassing zich gedraagt alsof ze niet wordt bewaakt, verdenk dan een route of een uitsluiting voordat u aanneemt dat de monitor stuk is.

Wat de operator leert zonder payloads te lezen

Metadata is geen troostprijs. Adressen, poorten, DNS-namen, verbindingstijden, bytetellingen en de geauthenticeerde identiteit zijn allemaal zichtbaar voor het onderdeel op het pad. Herhaalde bezoeken aan één host op hetzelfde uur bouwen een routine op, en een routine kan meer zeggen dan één pagina.

Dat is het eerlijke antwoord op de gebruikelijke vraag. De operator ziet waar en wanneer, zelfs wanneer de inhoud verzegeld blijft.

Zichtbaarheid van inhoud vereist een tweede, luidere verandering. Een correct gevalideerde HTTPS-sessie blijft ondoorzichtig voor een tunnel of stroomfilter, en dat geldt ook voor lokale bestanden en verkeer dat nooit op het gedekte pad komt. Pagina-inhoud lezen vereist een certificaatautoriteit die de Mac al vertrouwt, dus een onderscheppingscertificaat dat met eigen goedkeuring is geïnstalleerd. Die stap verschuift de grens van metadata naar inhoud en verdient apart onderzoek.

De reikwijdte stopt ook bij het apparaat. Een tunnel op één laptop dekt geen telefoon, tablet of andermans machine op dezelfde Wi-Fi, en een zakelijke client kan de andere klanten van het café niet inventariseren. Apparaatbeheersoftware kan meer verzamelen dan de tunnel blootlegt, maar dat is een aparte controle met een andere beleidseigenaar.

Inspecteer het certificaatarchief voordat u in paniek raakt

Een vertrouwde wortel is het verschil tussen verkeer zien en het lezen. Inspecteer de systeemsleutelhanger op autoriteiten die u niet kent, en noteer welke verschenen rond het moment van de melding. Een beheerde Mac kan legitiem een inspectiewortel dragen die de werkgever heeft gepusht, en dan hoort het gesprek bij de beheerder. Een persoonlijke Mac die er per ongeluk een verwierf, heeft een bevinding die actie verdient. Noteer de algemene naam, de uitgever en de datum van toevoeging zodat de vraag later kan worden beantwoord.

Vergelijk die lijst met wat apparaatbeheer meldt. Als de profiellijst en de certificaatlijst van elkaar afwijken, beslist de certificaatlijst wat de Mac accepteert.

Twee opdrachten dekken het grootste deel van de controle. De eerste drukt configuratieprofielen af; de tweede drukt certificaten af in de door de beheerder beheerde systeemsleutelhanger, waar een toegevoegde wortel meestal belandt.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

De standaardwortels van Apple staan in een aparte sleutelhanger en zijn hier niet de zorg. Een leeg resultaat van de tweede opdracht is gebruikelijk op een persoonlijke Mac. Een gevuld resultaat verdient een lezing onderwerp voor onderwerp voordat u het terzijde schuift.

Beslis en schrijf dan op waarom

Goedkeuring is redelijk wanneer u de operator, het onderdeel en de reden kunt noemen, en wanneer het verzoek past bij een keuze die u of uw organisatie heeft gemaakt. Onderzoek is de juiste reactie wanneer de melding zonder context komt, vooral na een netwerkwijziging of een niet-gerelateerde installatie. Verbreek eerst de verbinding, leg de profielidentificatie en de uitbreiding vast, en beslis dan. Verwijderen is een derde weg, en het herstelt de eerdere routering zonder het account aan te raken.

Behandel toestemming en verwijdering als aparte beslissingen die op verschillende momenten worden genomen. Een filter vandaag goedkeuren verplicht u niet om het te houden, en het verwijderen van een profiel wist geen serverregistraties van wat werd waargenomen terwijl het actief was.

Als de melding volgde op een update van software die u al gebruikt, lees dan de release-opmerkingen van die versie voordat u klikt. Leveranciers wijzigen de uitbreidingsarchitectuur tussen releases echt, en een nieuw filter kan met een routine-update meekomen. Als de melding volgde op een verbinding met een nieuw netwerk, behandel het moment dan als bewijs en inspecteer wat er veranderd is.

Houd een korte registratie bij: profielnaam, uitbreidingsidentificatie, operator, certificaatvingerafdruk als er een is toegevoegd, en de datum. De volgende persoon kan bij die tijdlijn beginnen in plaats van bij de formulering van een dialoog.