Aviso de VPN do Mac filtrada ou monitorizada: o que permite

Esse aviso é uma autorização, não um diagnóstico. Quando o macOS anuncia que uma configuração vai filtrar ou monitorizar o tráfego, está a dizer-lhe que um componente que aprovou vê o caminho que cobre e a perguntar se isso é aceitável. A caixa de diálogo não lhe pode dizer quem gere o componente, o que registra ou se desencripta alguma coisa. Essas respostas estão no perfil, na lista de extensões e nos certificados da máquina, por isso comece por aí em vez de reler a frase.

Leia o aviso como uma pergunta de âmbito

Cada aviso de ativação aponta para duas coisas sem as nomear com clareza: a extensão que vai tratar do tráfego e a configuração que encaminha o tráfego para ela. No macOS atual estes componentes são extensões de sistema NetworkExtension, e instalar ou ativar uma exige aprovação nas Definições do Sistema. A formulação mantém-se ampla porque o sistema operativo não pode saber se quem aprova é um departamento de TI, uma VPN por subscrição ou um agente de filtragem incluído com outra coisa.

Por isso o mesmo texto cobre três situações diferentes. Um Mac gerido recebe um perfil da gestão de dispositivos, um Mac pessoal recebe uma configuração de uma aplicação que instalou, e um produto de segurança pode instalar um filtro que nunca se apresenta como VPN. Nenhum desses rótulos resolve a intenção. Apenas dizem a que parte perguntar primeiro.

Dois comandos separam rapidamente esses casos. O primeiro lista as extensões de sistema instaladas e se cada uma está ativa, o segundo lista os perfis de configuração com as respetivas cargas e a organização signatária.

systemextensionsctl list
profiles show -type configuration

Distinga um túnel de um filtro

Um túnel de pacotes dá ao Mac uma rota e transporta tudo o que a tabela de encaminhamento lá enviar. Um filtro de conteúdo situa-se ao nível do fluxo, vê cada ligação e pode permiti-la, bloqueá-la ou redirecioná-la. Um produto pode fornecer os dois ao mesmo tempo, e o aviso não muda quando o faz. A diferença importa porque as provas que pode reunir e as falhas que vai ver são diferentes.

Verifique a categoria da extensão, não o nome comercial. Um túnel surge normalmente como configuração de VPN e como extensão de rede, enquanto um filtro pode não ter qualquer serviço de VPN. Se o produto oferece os dois modos, a configuração ativa escolhe um, e mudar de modo pode alterar o que está coberto sem mudar o fornecedor.

A lista de serviços de VPN é a forma mais rápida de ver se existe um túnel. Um filtro que não é VPN não aparecerá nela, o que já é informação útil.

scutil --nc list

O selo de ligado não é prova de cobertura. As aplicações podem ser excluídas por regras por aplicação, e o tráfego para redes locais contorna frequentemente o túnel por desenho. Quando uma aplicação se comporta como se não estivesse vigiada, suspeite de uma rota ou de uma exclusão antes de assumir que o monitor está avariado.

O que o operador aprende sem ler as cargas

Os metadados não são um prémio de consolação. Endereços, portas, nomes DNS, horas de ligação, contagens de bytes e a identidade autenticada são todos visíveis para o componente no caminho. Visitas repetidas a um mesmo anfitrião à mesma hora constroem uma rotina, e uma rotina pode dizer mais do que uma única página.

É essa a resposta honesta à pergunta habitual. O operador pode ver onde e quando, mesmo quando o conteúdo permanece selado.

A visibilidade das cargas exige uma segunda mudança, mais forte. Uma sessão HTTPS corretamente validada permanece opaca a um túnel ou a um filtro de fluxo, tal como os ficheiros locais e o tráfego que nunca entra no caminho coberto. Ler o corpo das páginas exige uma autoridade de certificação em que o Mac já confia, ou seja, um certificado de interceção instalado com a sua própria aprovação. Esse passo desloca a fronteira dos metadados para o conteúdo e merece análise separada.

O âmbito também termina no dispositivo. Um túnel num portátil não cobre um telemóvel, um tablet ou a máquina de outra pessoa na mesma Wi-Fi, e um cliente empresarial não consegue inventariar os outros clientes do café. O software de gestão de dispositivos pode recolher mais do que o túnel expõe, mas é um controlo separado com outro responsável pela política.

Inspecione o armazém de certificados antes de entrar em pânico

Uma raiz de confiança é a diferença entre ver o tráfego e lê-lo. Inspecione o porta-chaves do sistema em busca de autoridades que não reconhece, e anote as que apareceram perto do momento do aviso. Um Mac gerido pode transportar legitimamente uma raiz de inspeção enviada pela entidade empregadora, e então a conversa pertence ao administrador. Um Mac pessoal que adquiriu uma por acidente tem um achado que merece ação. Registe o nome comum, o emissor e a data de adição para que a pergunta possa ser respondida mais tarde.

Compare essa lista com o que a gestão de dispositivos relata. Se a lista de perfis e a lista de certificados não coincidirem, é a lista de certificados que decide o que o Mac aceitará.

Dois comandos cobrem a maior parte da verificação. O primeiro imprime os perfis de configuração; o segundo imprime os certificados no porta-chaves do sistema gerido pelo administrador, onde uma raiz adicionada costuma ficar.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

As raízes padrão da Apple vivem num porta-chaves separado e não são a preocupação aqui. Um resultado vazio do segundo comando é comum num Mac pessoal. Um resultado preenchido merece uma leitura sujeito a sujeito antes de o descartar.

Decida e depois registe porquê

A aprovação é razoável quando consegue nomear o operador, o componente e o motivo, e quando o pedido corresponde a uma escolha que você ou a sua organização fizeram. A investigação é a resposta certa quando o aviso chega sem contexto, sobretudo após uma mudança de rede ou uma instalação não relacionada. Desligue primeiro, capture o identificador do perfil e a extensão, e só depois decida. A remoção é uma terceira via, e repõe o encaminhamento anterior sem tocar na conta.

Trate o consentimento e a remoção como decisões separadas tomadas em momentos diferentes. Aprovar um filtro hoje não o obriga a mantê-lo, e remover um perfil não apaga os registos do lado do servidor sobre o que foi observado enquanto estava ativo.

Se o aviso surgiu após uma atualização de software que já utiliza, leia as notas de lançamento dessa versão antes de clicar. Os fornecedores alteram mesmo a arquitetura das extensões entre versões, e um novo filtro pode chegar com uma atualização de rotina. Se o aviso surgiu após a ligação a uma rede nova, trate o momento como prova e inspecione o que mudou.

Mantenha um registo curto: nome do perfil, identificador da extensão, operador, impressão digital do certificado se algum foi adicionado, e a data. A próxima pessoa pode começar por essa cronologia em vez de pela formulação de uma caixa de diálogo.