Opozorilo o filtriranem ali nadzorovanem VPN na Macu: kaj pravzaprav dovoli

To opozorilo je dovolilnica, ne diagnoza. Ko macOS pravi, da bo konfiguracija filtrirala ali nadzorovala promet, vam sporoča, da lahko komponenta, ki ste jo odobrili, vidi pot, ki jo pokriva, in sprašuje, ali je to sprejemljivo. Pogovorno okno vam ne more povedati, kdo komponento upravlja, kaj beleži ali ali kar koli dešifrira. Ti odgovori so v profilu, na seznamu razširitev in v potrdilih na napravi, zato začnite tam, namesto da bi znova brali stavek.

Kako brati poziv: vprašanje obsega

Vsako obvestilo o aktivaciji opozarja na dve stvari, ne da bi ju jasno imenovalo: razširitev, ki bo obravnavala promet, in konfiguracijo, ki usmerja promet vanjo. V sedanjem macOS so te komponente sistemske razširitve NetworkExtension, njihova namestitev ali aktivacija pa zahteva odobritev v Sistemskih nastavitvah. Besedilo ostaja široko, ker operacijski sistem ne more vedeti, ali je odobritelj IT oddelek, naročniški VPN ali filtrirni agent, priložen čemu drugemu.

Zato isto besedilo pokriva tri različne ureditve. Upravljani Mac prejme profil od upravljanja naprav, osebni Mac dobi konfiguracijo iz aplikacije, ki ste jo namestili, varnostni izdelek pa lahko namesti filter, ki se nikoli ne predstavi kot VPN. Nobena od teh oznak ne določa namena. Povedo le, koga vprašati najprej.

Dva ukaza ta primera hitro ločita. Prvi našteje nameščene sistemske razširitve in ali je vsaka aktivna, drugi pa našteje konfiguracijske profile z njihovo vsebino in organizacijo podpisnico.

systemextensionsctl list
profiles show -type configuration

Ločite tunel od filtra

Paketni tunel Macu da pot in prenaša vse, kar usmerjevalna tabela pošlje vanj. Vsebinski filter deluje na ravni toka, pogleda vsako povezavo in jo lahko dovoli, blokira ali preusmeri. Izdelek lahko ponudi oboje hkrati in opozorilo se ob tem ne spremeni. Razlika je pomembna, ker so dokazi, ki jih lahko zberete, in napake, ki jih boste videli, različni.

Opazujte kategorijo razširitve, ne trženjskega imena. Tunel se običajno pokaže kot konfiguracija VPN in kot omrežna razširitev, filter pa morda sploh nima storitve VPN. Če izdelek ponuja oba načina, aktivna konfiguracija izbere enega, preklop načina pa lahko spremeni pokritost, ne da bi zamenjal ponudnika.

Seznam storitev VPN je najhitrejši način, da vidite, ali tunel obstaja. Filter, ki ni VPN, se na njem ne bo pojavil, kar je že samo po sebi koristen podatek.

scutil --nc list

Znak povezave ni dokaz pokritosti. Aplikacije je mogoče izvzeti s pravili za posamezne aplikacije in promet do lokalnih omrežij pogosto po zasnovi obide tunel. Ko se ena aplikacija obnaša, kot da ni nadzorovana, sumite na pot ali izvzetje, preden sklepate, da je nadzornik pokvarjen.

Kaj operater izve brez branja vsebine

Metapodatki niso tolažilna nagrada. Naslovi, vrata, imena DNS, časi povezav, število bajtov in identiteta, ki se je overila, so vidni komponenti na poti. Ponavljajoči obiski enega gostitelja ob isti uri ustvarijo rutino, rutina pa lahko pove več kot posamezna stran.

To je pošten odgovor na običajno vprašanje. Operater vidi kje in kdaj, tudi ko vsebina ostane zapečatena.

Vidnost vsebine zahteva drugo, glasnejšo spremembo. Pravilno overjena seja HTTPS ostane tunelu ali tokovnemu filtru neprozorna, enako velja za lokalne datoteke in promet, ki nikoli ne vstopi na pokrito pot. Branje teles strani zahteva potrditveno ustanovo, ki ji Mac že zaupa, torej prestrezno potrdilo, nameščeno z lastno odobritvijo. Ta korak premakne mejo z metapodatkov na vsebino in si zasluži ločen pregled.

Obseg se ustavi tudi pri napravi. Tunel na enem prenosniku ne pokrije telefona, tablice ali naprave druge osebe v istem omrežju Wi-Fi, podjetniški odjemalec pa ne more popisati drugih gostov v kavarni. Programska oprema za upravljanje naprav lahko zbere več, kot razkrije tunel, vendar je to ločena kontrola z drugim lastnikom pravil.

Preden se vznemirite, preglejte shrambo potrdil

Zaupanja vreden koren je razlika med opazovanjem prometa in njegovim branjem. Preglejte sistemski ključ, ali so v njem ustanove, ki jih ne prepoznate, in zabeležite tiste, ki so se pojavile približno takrat kot poziv. Upravljani Mac lahko upravičeno nosi prestrezni koren, ki ga je potisnil delodajalec, in takrat je pogovor naloga skrbnika. Osebni Mac, ki ga je dobil po nesreči, ima ugotovitev, ki si zasluži ukrepanje. Zapišite splošno ime, izdajatelja in datum dodajanja, da bo mogoče na vprašanje odgovoriti pozneje.

Primerjajte ta seznam s tem, kar poroča upravljanje naprav. Če se seznam profilov in seznam potrdil razlikujeta, odloča seznam potrdil — ta določa, kaj bo Mac sprejel.

Dva ukaza pokrijeta večino pregleda. Prvi izpiše konfiguracijske profile; drugi izpiše potrdila v sistemskem ključu, ki ga upravlja skrbnik, kamor običajno pristane dodan koren.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Koreni, ki jih dobavi Apple, so v ločenem ključu in tu niso skrb. Prazen rezultat drugega ukaza je na osebnem Macu običajen. Poln rezultat si pred zavrnitvijo zasluži branje po posameznih subjektih.

Odločite se in zapišite, zakaj

Odobritev je smiselna, ko lahko imenujete operaterja, komponento in razlog ter ko se zahteva ujema z izbiro, ki ste jo sprejeli vi ali vaša organizacija. Preiskava je pravi odgovor, ko poziv pride brez konteksta, zlasti po spremembi omrežja ali nepovezani namestitvi. Najprej se odklopite, zajemite identifikator profila in razširitev, nato se odločite. Odstranitev je tretja pot in obnovi prejšnje usmerjanje, ne da bi se dotaknila računa.

Soglasje in odstranitev obravnavajte kot dve ločeni odločitvi, sprejeti ob različnih časih. Odobritev filtra danes vas ne zavezuje, da ga boste obdržali, odstranitev profila pa ne izbriše strežniških zapisov o tem, kaj je bilo opaženo, ko je bil aktiven.

Če je obvestilo sledilo posodobitvi programske opreme, ki jo že uporabljate, pred klikom preberite opombe k tej različici. Ponudniki med izdajami res spreminjajo arhitekturo razširitev in nov filter lahko pride z rutinsko posodobitvijo. Če je obvestilo sledilo priklopu na novo omrežje, časovni okvir jemljite kot dokaz in preglejte, kaj se je spremenilo.

Vodite kratek zapis: ime profila, identifikator razširitve, operaterja, odtis potrdila, če je bilo dodano, in datum. Naslednja oseba lahko začne s te časovnice, ne z besedilom pogovornega okna.