Babala ng Mac tungkol sa naka-filter o minomonitor na VPN: ano ba talaga ang pinapayagan nito

Ang babalang iyon ay isang permiso, hindi diagnosis. Kapag sinabi ng macOS na ang isang configuration ay mag-filter o mag-monitor ng trapiko, sinasabi nito na ang isang bahaging inaprubahan mo ay nakikita ang landas na sakop nito at tinatanong kung katanggap-tanggap iyon. Hindi masasabi ng dialog kung sino ang nagpapatakbo ng bahagi, ano ang itinatala nito, o kung may dinedecrypt ito. Ang mga sagot ay nasa profile, listahan ng extension, at mga certificate sa makina, kaya magsimula roon sa halip na ulitin ang pagbasa ng pangungusap.

Basahin ang prompt bilang tanong ng saklaw

Bawat abiso ng activation ay tumutukoy sa dalawang bagay nang hindi malinaw na pinapangalanan: ang extension na hahawak ng trapiko at ang configuration na nagdadala ng trapiko papasok dito. Sa kasalukuyang macOS, ang mga bahaging ito ay mga system extension ng NetworkExtension, at ang pag-install o pag-activate ng isa ay nangangailangan ng pag-apruba sa System Settings. Nananatiling malawak ang pananalita dahil hindi alam ng operating system kung ang nag-apruba ay isang departamento ng IT, isang subscription na VPN, o isang filtering agent na kasama ng iba pang bagay.

Kaya't ang parehong teksto ay sumasakop sa tatlong magkakaibang kaayusan. Ang pinamamahalaang Mac ay tumatanggap ng profile mula sa device management, ang personal na Mac ay nakakakuha ng configuration mula sa app na ininstal mo, at ang isang produktong pangseguridad ay maaaring mag-install ng filter na hindi kailanman nagpapakilala bilang VPN. Wala sa mga label na iyon ang nagtatakda ng layunin. Sinasabi lamang nila kung sino ang tatanungin mo muna.

Dalawang command ang mabilis na naghihiwalay sa mga kasong iyon. Ang una ay naglilista ng mga naka-install na system extension at kung aktibo ang bawat isa, at ang pangalawa ay naglilista ng configuration profile kasama ang payload at organisasyong pumirma.

systemextensionsctl list
profiles show -type configuration

Ihiwalay ang tunnel sa filter

Ang packet tunnel ay nagbibigay sa Mac ng ruta at dinadala ang lahat ng ipinapadala ng routing table papasok dito. Ang content filter ay nasa antas ng flow, tinitingnan ang bawat koneksyon at maaaring payagan, harangan, o i-redirect ito. Maaaring maghatid ang isang produkto ng pareho nang sabay, at hindi nagbabago ang babala kapag ginawa nito iyon. Mahalaga ang pagkakaiba dahil magkaiba ang ebidensyang makokolekta mo at ang mga failure na makikita mo.

Tingnan ang kategorya ng extension, hindi ang pangalan sa marketing. Ang tunnel ay karaniwang lumilitaw bilang configuration ng VPN at bilang network extension, samantalang ang filter ay maaaring walang serbisyong VPN talaga. Kung nag-aalok ang produkto ng dalawang mode, pinipili ng aktibong configuration ang isa, at ang pagpalit ng mode ay maaaring magbago ng sakop nang hindi binabago ang vendor.

Ang listahan ng serbisyong VPN ang pinakamabilis na paraan upang makita kung may tunnel. Ang filter na hindi VPN ay hindi lilitaw doon, na kapaki-pakinabang na impormasyon sa sarili nito.

scutil --nc list

Ang badge na konektado ay hindi patunay ng sakop. Maaaring ibukod ang mga app sa pamamagitan ng patakaran kada app, at madalas na nilalampasan ng trapiko papunta sa lokal na network ang tunnel ayon sa disenyo. Kapag ang isang app ay kumikilos na parang walang nagmamanman, hinalain muna ang ruta o pagbubukod bago ipagpalagay na sira ang monitor.

Ano ang natututuhan ng operator nang hindi binabasa ang payload

Ang metadata ay hindi consolation prize. Ang mga address, port, pangalan ng DNS, oras ng koneksyon, bilang ng byte, at ang pagkakakilanlang nagpatunay ay nakikita lahat ng bahaging nasa landas. Ang paulit-ulit na pagbisita sa isang host sa parehong oras ay bumubuo ng rutina, at ang rutina ay makakapagsabi ng higit pa sa isang pahina.

Iyon ang tapat na sagot sa karaniwang tanong. Nakikita ng operator ang saan at kailan, kahit nananatiling sarado ang nilalaman.

Ang pagtingin sa payload ay nangangailangan ng pangalawa at mas malakas na pagbabago. Ang tamang na-validate na sesyong HTTPS ay nananatiling opaque sa tunnel o flow filter, gayundin ang mga lokal na file at trapikong hindi kailanman pumapasok sa sakop na landas. Ang pagbasa ng katawan ng pahina ay nangangailangan ng certificate authority na pinagkakatiwalaan na ng Mac, ibig sabihin ay interception certificate na ininstal na may sariling pag-apruba. Inililipat ng hakbang na iyon ang hangganan mula metadata patungo sa nilalaman at karapat-dapat sa hiwalay na pagsusuri.

Humihinto rin ang saklaw sa device. Ang tunnel sa isang laptop ay hindi sumasakop sa telepono, tablet, o makina ng ibang tao sa parehong Wi-Fi, at hindi kayang i-inventory ng corporate client ang ibang customer ng cafe. Ang software ng device management ay makakapagkolekta ng higit sa ibinubunyag ng tunnel, ngunit iyon ay hiwalay na kontrol na may ibang may-ari ng patakaran.

Suriin ang certificate store bago ka mag-panic

Ang pinagkakatiwalaang root ang pagkakaiba ng panonood sa trapiko at pagbasa nito. Suriin ang system keychain para sa mga authority na hindi mo kilala, at tandaan ang mga lumitaw sa oras na lumitaw ang prompt. Ang pinamamahalaang Mac ay maaaring legal na magdala ng inspection root na itinulak ng employer, at doon ang usapan ay sa administrator. Ang personal na Mac na nakakuha nito nang aksidente ay may natuklasang karapat-dapat aksyunan. Itala ang common name, issuer, at petsa ng pagdagdag upang masagot ang tanong mamaya.

Ihambing ang listahang iyon sa iniuulat ng device management. Kung hindi tugma ang listahan ng profile at listahan ng certificate, ang listahan ng certificate ang nagtatakda kung ano ang tatanggapin ng Mac.

Dalawang command ang sumasakop sa halos lahat ng pagsusuri. Ang una ay nagpi-print ng configuration profile; ang pangalawa ay nagpi-print ng mga certificate sa system keychain na pinamamahalaan ng admin, kung saan karaniwang napupunta ang idinagdag na root.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Ang mga root na ibinibigay ng Apple ay nasa hiwalay na keychain at hindi ito ang alalahanin dito. Ang walang laman na resulta mula sa pangalawang command ay karaniwan sa personal na Mac. Ang may lamang resulta ay karapat-dapat basahin bawat subject bago ito itakwil.

Magpasya, pagkatapos isulat kung bakit

Makatuwiran ang pag-apruba kapag mapananagutan mo ang operator, ang bahagi, at ang dahilan, at kapag tumutugma ang kahilingan sa piniling ginawa mo o ng iyong organisasyon. Ang imbestigasyon ang tamang tugon kapag dumarating ang prompt na walang konteksto, lalo na pagkatapos ng pagbabago sa network o walang kaugnayang pag-install. Idiskonekta muna, itala ang identifier ng profile at ang extension, pagkatapos magpasya. Ang pag-alis ay ikatlong landas, at ibinabalik nito ang dating routing nang hindi hinahawakan ang account.

Ituring ang pahintulot at pag-alis bilang dalawang hiwalay na desisyong ginawa sa magkaibang oras. Ang pag-apruba ng filter ngayon ay hindi nag-oobliga sa iyong panatilihin ito, at ang pag-alis ng profile ay hindi nagbubura ng mga rekord sa server tungkol sa naobserbahan habang aktibo ito.

Kung ang abiso ay sumunod sa update ng software na ginagamit mo na, basahin ang release notes ng bersyong iyon bago mag-click. Talagang binabago ng mga vendor ang arkitektura ng extension sa pagitan ng mga release, at ang bagong filter ay maaaring dumating kasama ng karaniwang update. Kung ang abiso ay sumunod sa pagsali sa bagong network, ituring na ebidensya ang timing at suriin ang nagbago.

Magtago ng maikling rekord: pangalan ng profile, identifier ng extension, operator, thumbprint ng certificate kung may idinagdag, at petsa. Maaaring magsimula ang susunod na tao sa timeline na iyon sa halip na sa pananalita ng dialog.