Varning för filtrerad eller övervakad VPN på Mac: vad den egentligen tillåter

Den varningen är ett tillstånd, inte en diagnos. När macOS säger att en konfiguration kommer att filtrera eller övervaka trafik, säger det att en komponent du godkänt kan se vägen den täcker och frågar om det är acceptabelt. Dialogen kan inte säga vem som driver komponenten, vad den registrerar eller om den dekrypterar något. De svaren finns i profilen, i tilläggslistan och i certifikaten på datorn, så börja där i stället för att läsa meningen igen.

Läs frågan som en fråga om omfattning

Varje aktiveringsmeddelande pekar på två saker utan att namnge dem tydligt: tillägget som ska hantera trafiken och konfigurationen som leder trafiken in i det. I nuvarande macOS är dessa komponenter systemtillägg av typen NetworkExtension, och att installera eller aktivera ett kräver godkännande i Systeminställningar. Formuleringen är bred eftersom operativsystemet inte kan veta om den som godkänner är en IT-avdelning, en prenumererad VPN eller en filtreringsagent som följer med något annat.

Därför täcker samma text tre olika upplägg. En hanterad Mac får en profil från enhetshantering, en personlig Mac får en konfiguration från en app du installerat, och en säkerhetsprodukt kan installera ett filter som aldrig presenterar sig som en VPN. Ingen av etiketterna avgör avsikten. De säger bara vem du ska fråga först.

Två kommandon skiljer snabbt dessa fall. Det första listar installerade systemtillägg och om varje tillägg är aktivt, och det andra listar konfigurationsprofiler med deras innehåll och signerande organisation.

systemextensionsctl list
profiles show -type configuration

Skilj en tunnel från ett filter

En pakettunnel ger Macen en väg och bär allt som routingtabellen skickar in i den. Ett innehållsfilter sitter på flödesnivå, tittar på varje anslutning och kan tillåta, blockera eller omdirigera den. En produkt kan leverera båda samtidigt, och varningen ändras inte när den gör det. Skillnaden spelar roll eftersom bevisen du kan samla in och felen du kommer att se är olika.

Titta på tilläggskategorin i stället för marknadsföringsnamnet. En tunnel visas vanligtvis som en VPN-konfiguration och som ett nätverkstillägg, medan ett filter kan sakna VPN-tjänst helt. Om produkten erbjuder båda lägena väljer den aktiva konfigurationen ett, och att byta läge kan ändra vad som täcks utan att byta leverantör.

Listan över VPN-tjänster är det snabbaste sättet att se om en tunnel finns. Ett filter som inte är en VPN visas inte i den, vilket i sig är användbar information.

scutil --nc list

En ansluten-markering är inte bevis på täckning. Appar kan undantas med regler per app, och trafik till lokala nätverk kringgår ofta tunneln enligt design. När en applikation beter sig som om den inte övervakas, misstänk en väg eller ett undantag innan du antar att övervakaren är trasig.

Vad operatören får veta utan att läsa innehåll

Metadata är ingen tröst. Adresser, portar, DNS-namn, anslutningstider, byteantal och identiteten som autentiserade är alla synliga för komponenten på vägen. Upprepade besök hos en värd vid samma timme bygger en rutin, och en rutin kan säga mer än en enda sida.

Det är det ärliga svaret på den vanliga frågan. Operatören kan se var och när, även när innehållet förblir förseglat.

Synlighet i innehållet kräver en andra, högre förändring. En korrekt validerad HTTPS-session förblir ogenomtränglig för en tunnel eller ett flödesfilter, och detsamma gäller lokala filer och trafik som aldrig kommer in på den täckta vägen. Att läsa sidkroppar kräver en certifikatutfärdare som Macen redan litar på, det vill säga ett avlyssningscertifikat installerat med sitt eget godkännande. Det steget flyttar gränsen från metadata till innehåll och förtjänar separat granskning.

Omfattningen slutar också vid enheten. En tunnel på en bärbar dator täcker inte en telefon, en surfplatta eller någon annans dator på samma Wi-Fi, och en företagsklient kan inte inventera kaféets övriga besökare. Programvara för enhetshantering kan samla in mer än tunneln avslöjar, men det är en separat kontroll med en annan policyägare.

Granska certifikatlagret innan du får panik

En betrodd rot är skillnaden mellan att titta på trafik och att läsa den. Granska systemnyckelringen efter utfärdare du inte känner igen och notera dem som dök upp ungefär när meddelandet gjorde det. En hanterad Mac kan legitimt bära en avlyssningsrot som arbetsgivaren har skjutit ut, och då hör samtalet till administratören. En personlig Mac som fått en av misstag har en upptäckt värd att agera på. Anteckna det vanliga namnet, utgivaren och datumet då den lades till så att frågan kan besvaras senare.

Jämför den listan med det enhetshanteringen rapporterar. Om profillistan och certifikatlistan inte stämmer överens är det certifikatlistan som avgör vad Macen kommer att acceptera.

Två kommandon täcker det mesta av kontrollen. Det första skriver ut konfigurationsprofiler; det andra skriver ut certifikat i den administratörsstyrda systemnyckelringen, där en tillagd rot vanligtvis hamnar.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Apples egna rötter ligger i en separat nyckelring och är inte problemet här. Ett tomt resultat från det andra kommandot är vanligt på en personlig Mac. Ett fyllt resultat förtjänar en genomläsning subjekt för subjekt innan du avfärdar det.

Bestäm dig och skriv sedan ner varför

Godkännande är rimligt när du kan namnge operatören, komponenten och anledningen, och när begäran matchar ett val som du eller din organisation gjort. Utredning är rätt svar när meddelandet kommer utan sammanhang, särskilt efter en nätverksändring eller en orelaterad installation. Koppla ned först, fånga profilidentifieraren och tillägget och bestäm sedan. Borttagning är en tredje väg, och den återställer tidigare routing utan att röra kontot.

Behandla samtycke och borttagning som två separata beslut fattade vid olika tillfällen. Att godkänna ett filter idag förbinder dig inte att behålla det, och att ta bort en profil raderar inte serverlagrade uppgifter om vad som observerades medan den var aktiv.

Om meddelandet följde på en uppdatering av programvara du redan kör, läs versionsinformationen för den versionen innan du klickar. Leverantörer ändrar faktiskt tilläggsarkitekturen mellan versioner, och ett nytt filter kan komma med en rutinmässig uppdatering. Om meddelandet följde på att du anslöt till ett nytt nätverk, behandla tidpunkten som bevis och granska vad som ändrades.

För en kort anteckning: profilnamn, tilläggsidentifierare, operatör, certifikatets fingeravtryck om ett lades till, och datum. Nästa person kan börja från den tidslinjen i stället för från dialogens formulering.