Paralajmërimi për VPN të filtruar ose të monitoruar në Mac: çfarë lejon në të vërtetë

Ai paralajmërim është një leje, jo një diagnozë. Kur macOS thotë se një konfigurim do të filtrojë ose monitorojë trafikun, po ju thotë se një komponent që e keni miratuar mund të shohë rrugën që mbulon dhe po pyet nëse kjo është e pranueshme. Dialogu nuk mund t'ju thotë kush e drejton komponentin, çfarë regjistron apo nëse deshifron ndonjë gjë. Ato përgjigje ndodhen në profil, në listën e zgjerimeve dhe në certifikatat në makinë, ndaj filloni prej andej në vend që të rilexoni fjalinë.

Lexojeni kërkesën si një pyetje shtrirjeje

Çdo njoftim aktivizimi tregon dy gjëra pa i quajtur qartë: zgjerimin që do të trajtojë trafikun dhe konfigurimin që e drejton trafikun drejt tij. Në macOS-in aktual këta komponentë janë zgjerime sistemi NetworkExtension, dhe instalimi ose aktivizimi i njërit kërkon miratim në Cilësimet e Sistemit. Formulimi mbetet i gjerë, sepse sistemi operativ nuk ka si të dijë nëse miratuesi është një departament IT, një VPN me abonim apo një agjent filtrimi i paketuar me diçka tjetër.

Prandaj i njëjti tekst mbulon tre skema të ndryshme. Një Mac i menaxhuar merr një profil nga menaxhimi i pajisjeve, një Mac personal merr një konfigurim nga një aplikacion që keni instaluar, dhe një produkt sigurie mund të instalojë një filtër që nuk paraqitet kurrë si VPN. Asnjë prej këtyre etiketave nuk e përcakton qëllimin. Ato thjesht ju tregojnë se kë duhet të pyesni së pari.

Dy komanda i ndajnë shpejt këto raste. E para liston zgjerimet e sistemit të instaluara dhe nëse secili është aktiv, dhe e dyta liston profilet e konfigurimit me ngarkesat dhe organizatën që i nënshkruan.

systemextensionsctl list
profiles show -type configuration

Dalloni një tunel nga një filtër

Një tunel paketash i jep Mac-ut një rrugë dhe mbart gjithçka që tabela e rrugëzimit dërgon në të. Një filtër përmbajtjeje qëndron në nivel rrjedhe, shikon çdo lidhje dhe mund ta lejojë, bllokojë ose ridrejtojë atë. Një produkt mund t'i ofrojë të dyja njëherësh, dhe paralajmërimi nuk ndryshon kur e bën. Diferenca ka rëndësi, sepse provat që mund të mblidhni dhe dështimet që do të shihni janë të ndryshme.

Shikoni kategorinë e zgjerimit, jo emrin e marketingut. Një tunel zakonisht shfaqet si konfigurim VPN dhe si zgjerim rrjeti, ndërsa një filtër mund të mos ketë fare shërbim VPN. Nëse produkti ofron të dy regjimet, konfigurimi aktiv zgjedh njërin, dhe ndryshimi i regjimit mund të ndryshojë atë që mbulohet pa ndryshuar furnizuesin.

Lista e shërbimeve VPN është mënyra më e shpejtë për të parë nëse ekziston një tunel. Një filtër që nuk është VPN nuk do të shfaqet në të, çka është në vetvete informacion i dobishëm.

scutil --nc list

Distinktivi i lidhur nuk është provë mbulimi. Aplikacionet mund të përjashtohen me rregulla për çdo aplikacion, dhe trafiku drejt rrjeteve lokale shpesh e anashkalon tunelin sipas dizajnit. Kur një aplikacion sillet sikur nuk mbikëqyret, dyshoni një rrugë ose një përjashtim përpara se të supozoni se monitori është prishur.

Çfarë mëson operatori pa lexuar përmbajtjen

Metadata nuk është çmim ngushëllimi. Adresat, portat, emrat DNS, kohët e lidhjes, numri i bajteve dhe identiteti që u vërtetua janë të gjitha të dukshme për komponentin në rrugë. Vizitat e përsëritura te një host në të njëjtën orë ndërtojnë një rutinë, dhe një rutinë mund të thotë më shumë sesa një faqe e vetme.

Kjo është përgjigjja e ndershme për pyetjen e zakonshme. Operatori mund të shohë ku dhe kur, edhe kur përmbajtja mbetet e mbyllur.

Dukshmëria e përmbajtjes kërkon një ndryshim të dytë, më të fortë. Një sesion HTTPS i vërtetuar saktë mbetet i papërshkueshëm për një tunel ose një filtër rrjedhe, dhe po ashtu skedarët lokalë dhe trafiku që nuk hyn kurrë në rrugën e mbuluar. Leximi i trupave të faqeve kërkon një autoritet certifikatash që Mac-i tashmë i beson, pra një certifikatë ndërhyrjeje të instaluar me miratimin e vet. Ky hap e zhvendos kufirin nga metadata te përmbajtja dhe meriton shqyrtim të veçantë.

Shtrirja ndalet edhe te pajisja. Një tunel në një laptop nuk mbulon një telefon, një tablet apo makinën e një personi tjetër në të njëjtin Wi-Fi, dhe një klient korporativ nuk mund të inventarizojë klientët e tjerë të kafenesë. Programi i menaxhimit të pajisjeve mund të mbledhë më shumë sesa zbulon tuneli, por ai është një kontroll i veçantë me një pronar tjetër politike.

Shqyrtoni depon e certifikatave përpara se të panikoni

Një rrënjë e besuar është diferenca midis shikimit të trafikut dhe leximit të tij. Shqyrtoni vargun e çelësave të sistemit për autoritete që nuk i njihni dhe shënoni ato që u shfaqën rreth kohës kur u shfaq kërkesa. Një Mac i menaxhuar mund të mbajë në mënyrë legjitime një rrënjë ndërhyrjeje të shtyrë nga punëdhënësi, dhe atëherë biseda i takon administratorit. Një Mac personal që e mori rastësisht ka një gjetje që ia vlen të trajtohet. Shënoni emrin e përbashkët, lëshuesin dhe datën e shtimit, që pyetja të mund të përgjigjet më vonë.

Krahasoni atë listë me atë që raporton menaxhimi i pajisjeve. Nëse lista e profileve dhe lista e certifikatave nuk përputhen, është lista e certifikatave ajo që vendos se çfarë do të pranojë Mac-i.

Dy komanda mbulojnë pjesën më të madhe të kontrollit. E para shtyp profilet e konfigurimit; e dyta shtyp certifikatat në vargun e çelësave të sistemit të menaxhuar nga administratori, ku zakonisht përfundon një rrënjë e shtuar.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Rrënjët që ofron Apple ndodhen në një varg çelësash të veçantë dhe nuk janë shqetësimi këtu. Një rezultat bosh nga komanda e dytë është i zakonshëm në një Mac personal. Një rezultat i plotë meriton një lexim subjekt pas subjekti përpara se ta hidhni poshtë.

Vendosni, pastaj shkruani përse

Miratimi është i arsyeshëm kur mund të emërtoni operatorin, komponentin dhe arsyen, dhe kur kërkesa përputhet me një zgjedhje që keni bërë ju ose organizata juaj. Hetimi është përgjigjja e duhur kur kërkesa vjen pa kontekst, sidomos pas një ndryshimi rrjeti ose një instalimi të palidhur. Shkëputuni së pari, regjistroni identifikuesin e profilit dhe zgjerimin, pastaj vendosni. Heqja është një rrugë e tretë, dhe rikthen rrugëzimin e mëparshëm pa prekur llogarinë.

Trajtojini pëlqimin dhe heqjen si dy vendime të ndara të marra në kohë të ndryshme. Miratimi i një filtri sot nuk ju detyron ta mbani atë, dhe heqja e një profili nuk fshin regjistrimet në server për atë që u vëzhgua derisa ishte aktiv.

Nëse njoftimi pasoi një përditësim të programit që tashmë e përdorni, lexoni shënimet e versionit përpara se të klikoni. Furnizuesit vërtet ndryshojnë arkitekturën e zgjerimeve mes versioneve, dhe një filtër i ri mund të vijë me një përditësim rutinë. Nëse njoftimi pasoi lidhjen me një rrjet të ri, trajtojeni kohën si provë dhe shqyrtoni çfarë ndryshoi.

Mbani një shënim të shkurtër: emri i profilit, identifikuesi i zgjerimit, operatori, gjurmë e certifikatës nëse u shtua, dhe data. Personi tjetër mund të nisë nga ajo kronologji, jo nga formulimi i dialogut.