Упозорење о филтрираном или надгледаном VPN-у на Mac-у: шта заправо дозвољава

То упозорење је дозвола, а не дијагноза. Када macOS каже да ће конфигурација филтрирати или надгледати саобраћај, оно вам говори да компонента коју сте одобрили види путању коју покрива и пита да ли је то прихватљиво. Дијалог не може да вам каже ко управља компонентом, шта бележи или да ли било шта дешифрује. Ти одговори су у профилу, на списку проширења и у сертификатима на машини, зато почните одатле уместо да поново читате реченицу.

Позив читајте као питање обима

Свако обавештење о активацији указује на две ствари без јасног именовања: проширење које ће обрађивати саобраћај и конфигурацију која усмерава саобраћај у њега. У садашњем macOS-у те компоненте су системска проширења NetworkExtension, а њихова инсталација или активација захтева одобрење у Системским подешавањима. Текст остаје широк јер оперативни систем не може да зна да ли одобрење даје ИТ одељење, претплатни VPN или филтерски агент који долази уз нешто друго.

Зато исти текст покрива три различита уређења. Управљани Mac добија профил од управљања уређајима, лични Mac добија конфигурацију из апликације коју сте инсталирали, а безбедносни производ може да инсталира филтер који се никада не представља као VPN. Ниједна од тих ознака не одређује намеру. Оне само кажу кога прво питати.

Две команде брзо раздвајају те случајеве. Прва исписује инсталирана системска проширења и да ли је свако активно, а друга исписује конфигурационе профиле са њиховим садржајем и организацијом која их потписује.

systemextensionsctl list
profiles show -type configuration

Разликујте тунел од филтера

Пакетни тунел даје Mac-у путању и преноси све што таблица рутирања пошаље у њега. Филтер садржаја ради на нивоу тока, гледа сваку везу и може да је дозволи, блокира или преусмери. Производ може да испоручује оба одједном, и упозорење се тада не мења. Разлика је важна јер су докази које можете прикупити и кварови које ћете видети различити.

Гледајте категорију проширења, а не маркетиншко име. Тунел се обично појављује као конфигурација VPN-а и као мрежно проширење, док филтер можда уопште нема услугу VPN-а. Ако производ нуди оба режима, активна конфигурација бира један, а промена режима може да промени обухват без промене добављача.

Списак услуга VPN-а најбржи је начин да видите да ли тунел постоји. Филтер који није VPN неће се појавити на њему, што је само по себи корисна информација.

scutil --nc list

Ознака повезаности није доказ покривености. Апликације се могу изузети правилима по апликацији, а саобраћај ка локалним мрежама често по дизајну заобилази тунел. Када се једна апликација понаша као да је нико не надгледа, посумњајте на путању или изузетак пре него што претпоставите да је надзорник покварен.

Шта оператер сазна без читања садржаја

Метаподаци нису утешна награда. Адресе, портове, DNS имена, време веза, број бајтова и идентитет који се аутентификовао све види компонента на путањи. Понављане посете једном домаћину у исти сат стварају рутину, а рутина може да каже више од једне странице.

То је поштен одговор на уобичајено питање. Оператер види где и када, чак и када садржај остане запечаћен.

Видљивост садржаја захтева другу, гласнију промену. Исправно проверена HTTPS сесија остаје непрозирна за тунел или филтер тока, као и локалне датотеке и саобраћај који никада не уђе на покривену путању. Читање тела страница захтева тело за издавање сертификата коме Mac већ верује, односно сертификат за пресретање инсталиран уз сопствено одобрење. Тај корак помера границу са метаподатака на садржај и заслужује посебан преглед.

Обухват се такође зауставља на уређају. Тунел на једном преноснику не покрива телефон, таблет или машину друге особе на истој Wi-Fi мрежи, а корпоративни клијент не може да попише остале госте кафића. Софтвер за управљање уређајима може да прикупи више него што тунел открива, али то је одвојена контрола са другим власником политике.

Прегледајте складиште сертификата пре него што паничите

Поуздан корен је разлика између посматрања саобраћаја и његовог читања. Прегледајте системски привезак кључева на тела која не препознајете и забележите она која су се појавила приближно када и позив. Управљани Mac може легитимно да носи корен за пресретање који је послодавац убацио, и тада разговор припада администратору. Лични Mac који га је случајно добио има налаз са којим вреди нешто учинити. Запишите уобичајено име, издаваоца и датум додавања да би на питање могло да се одговори касније.

Упоредите тај списак са оним што пријављује управљање уређајима. Ако се списак профила и списак сертификата не слажу, одлучује списак сертификата — он одређује шта ће Mac прихватити.

Две команде покривају већину провере. Прва исписује конфигурационе профиле; друга исписује сертификате у системском привеску кључева којим управља администратор, где обично заврши додати корен.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Корени које испоручује Apple налазе се у одвојеном привеску кључева и овде нису брига. Празан резултат друге команде уобичајен је на личном Mac-у. Пун резултат заслужује читање субјекат по субјекат пре него што га одбаците.

Одлучите, а затим запишите зашто

Одобрење је разумно када можете да именујете оператера, компоненту и разлог и када захтев одговара избору који сте донели ви или ваша организација. Истрага је прави одговор када позив дође без контекста, нарочито после промене мреже или неповезане инсталације. Прво се искључите, забележите идентификатор профила и проширење, а затим одлучите. Уклањање је трећи пут и враћа претходно рутирање без додиривања налога.

Сагласност и уклањање третирајте као две одвојене одлуке донете у различито време. Одобрење филтера данас не обавезује вас да га задржите, а уклањање профила не брише серверске записе о томе шта је примећено док је био активан.

Ако је обавештење дошло после ажурирања софтвера који већ користите, прочитајте белешке о тој верзији пре него што кликнете. Добављачи заиста мењају архитектуру проширења између издања, и нови филтер може да стигне са рутинским ажурирањем. Ако је обавештење дошло после повезивања на нову мрежу, време узмите као доказ и прегледајте шта се променило.

Водите кратак запис: назив профила, идентификатор проширења, оператер, отисак сертификата ако је додат, и датум. Следећа особа може да почне од те временске линије, а не од формулације дијалога.