Mac'te filtrelenen veya izlenen VPN uyarısı: gerçekte neye izin verir

O uyarı bir izin belgesi, bir teşhis değil. macOS bir yapılandırmanın trafiği filtreleyeceğini veya izleyeceğini söylediğinde, onayladığınız bir bileşenin kapsadığı yolu görebildiğini bildiriyor ve bunun kabul edilebilir olup olmadığını soruyor. İletişim kutusu size bileşeni kimin çalıştırdığını, neyi kaydettiğini veya herhangi bir şeyin şifresini çözüp çözmediğini söyleyemez. Bu yanıtlar profilde, uzantı listesinde ve makinedeki sertifikalarda durur; bu yüzden cümleyi yeniden okumak yerine oradan başlayın.

İstemi bir kapsam sorusu olarak okuyun

Her etkinleştirme bildirimi, adlarını açıkça söylemeden iki şeye işaret eder: trafiği işleyecek uzantı ve trafiği ona yönlendiren yapılandırma. Güncel macOS'ta bu bileşenler NetworkExtension sistem uzantılarıdır ve birini kurmak veya etkinleştirmek Sistem Ayarları'nda onay gerektirir. İfade geniş kalır, çünkü işletim sistemi onaylayanın bir BT departmanı mı, abonelikli bir VPN mi yoksa başka bir şeyle birlikte gelen bir filtreleme aracısı mı olduğunu bilemez.

Bu yüzden aynı metin üç farklı düzeni kapsar. Yönetilen bir Mac, cihaz yönetiminden profil alır; kişisel bir Mac, kurduğunuz bir uygulamadan yapılandırma alır; bir güvenlik ürünü ise kendini hiçbir zaman VPN olarak sunmayan bir filtre kurabilir. Bu etiketlerin hiçbiri niyeti belirlemez. Yalnızca önce kime soracağınızı söylerler.

İki komut bu durumları hızla ayırır. Birincisi kurulu sistem uzantılarını ve her birinin etkin olup olmadığını listeler; ikincisi yapılandırma profillerini yükleri ve imzalayan kuruluşla birlikte listeler.

systemextensionsctl list
profiles show -type configuration

Tüneli filtreden ayırın

Bir paket tüneli Mac'e bir yol verir ve yönlendirme tablosunun içine gönderdiği her şeyi taşır. Bir içerik filtresi akış düzeyinde durur, her bağlantıya bakar ve onu izin verebilir, engelleyebilir veya yönlendirebilir. Bir ürün ikisini birden sunabilir ve uyarı bunu yaptığında değişmez. Fark önemlidir, çünkü toplayabileceğiniz kanıtlar ve göreceğiniz arızalar farklıdır.

Pazarlama adına değil, uzantı kategorisine bakın. Bir tünel genellikle bir VPN yapılandırması ve bir ağ uzantısı olarak görünür; bir filtrenin ise hiç VPN hizmeti olmayabilir. Ürün iki mod sunuyorsa etkin yapılandırma birini seçer ve mod değiştirmek satıcıyı değiştirmeden kapsamı değiştirebilir.

VPN hizmetleri listesi, bir tünelin var olup olmadığını görmenin en hızlı yoludur. VPN olmayan bir filtre bu listede görünmez; bu da kendi başına yararlı bir bilgidir.

scutil --nc list

Bağlı rozeti kapsama kanıtı değildir. Uygulamalar uygulama başına kurallarla hariç tutulabilir ve yerel ağlara giden trafik çoğu zaman tasarım gereği tüneli atlar. Bir uygulama izlenmiyormuş gibi davrandığında, izleyicinin bozuk olduğunu varsaymadan önce bir yolu veya hariç tutmayı düşünün.

Operatör içeriği okumadan ne öğrenir

Üst veri bir teselli ödülü değildir. Adresler, bağlantı noktaları, DNS adları, bağlantı zamanları, bayt sayıları ve kimlik doğrulaması yapan kimlik, yoldaki bileşen tarafından görülebilir. Aynı saatte bir ana bilgisayara tekrarlanan ziyaretler bir rutin oluşturur ve bir rutin tek bir sayfadan fazlasını anlatabilir.

Sıradan sorunun dürüst yanıtı budur. İçerik kapalı kalsa bile operatör nerede ve ne zaman olduğunu görebilir.

İçerik görünürlüğü ikinci ve daha yüksek sesli bir değişiklik gerektirir. Doğru doğrulanmış bir HTTPS oturumu bir tünel veya akış filtresi için opak kalır; yerel dosyalar ve kapsanan yola hiç girmeyen trafik de öyledir. Sayfa gövdelerini okumak, Mac'in zaten güvendiği bir sertifika otoritesi, yani kendi onayıyla kurulmuş bir araya girme sertifikası gerektirir. Bu adım sınırı üst veriden içeriğe taşır ve ayrı bir incelemeyi hak eder.

Kapsam cihazda da durur. Bir dizüstü bilgisayardaki tünel bir telefonu, tableti veya aynı Wi-Fi'daki başka birinin makinesini kapsamaz ve bir kurumsal istemci kafenin diğer müşterilerini envanterleyemez. Cihaz yönetimi yazılımı tünelin açığa çıkardığından daha fazlasını toplayabilir, ancak bu farklı bir ilke sahibine ait ayrı bir kontroldür.

Panik yapmadan önce sertifika deposunu inceleyin

Güvenilen bir kök, trafiği izlemekle onu okumak arasındaki farktır. Sistem anahtarlığında tanımadığınız otoriteler olup olmadığına bakın ve bildirim ortaya çıktığı sıralarda belirenleri not edin. Yönetilen bir Mac, işverenin dayattığı bir inceleme kökünü meşru olarak taşıyabilir; o zaman konuşma yöneticiye aittir. Kazara böyle bir kök edinmiş kişisel bir Mac'in ise üzerinde durulmaya değer bir bulgusu vardır. Ortak adı, vereni ve eklenme tarihini kaydedin ki soru daha sonra yanıtlanabilsin.

Bu listeyi cihaz yönetiminin bildirdikleriyle karşılaştırın. Profil listesi ile sertifika listesi uyuşmuyorsa, Mac'in neyi kabul edeceğine karar veren sertifika listesidir.

İki komut kontrolün büyük bölümünü kapsar. Birincisi yapılandırma profillerini yazdırır; ikincisi yönetici tarafından yönetilen sistem anahtarlığındaki sertifikaları yazdırır; eklenen bir kök genellikle oraya düşer.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Apple'ın kendi kökleri ayrı bir anahtarlıkta bulunur ve burada endişe konusu değildir. İkinci komuttan boş sonuç almak kişisel bir Mac'te yaygındır. Dolu bir sonuç, reddetmeden önce konu konu okunmayı hak eder.

Karar verin, sonra nedenini yazın

Operatörü, bileşeni ve gerekçeyi adlandırabildiğinizde ve istek sizin ya da kuruluşunuzun yaptığı bir seçimle örtüştüğünde onay makuldür. İstem bağlam olmadan geldiğinde, özellikle bir ağ değişikliğinden veya ilgisiz bir kurulumdan sonra doğru yanıt araştırmadır. Önce bağlantıyı kesin, profil tanımlayıcısını ve uzantıyı kaydedin, sonra karar verin. Kaldırma üçüncü bir yoldur ve hesaba dokunmadan önceki yönlendirmeyi geri getirir.

Onayı ve kaldırmayı farklı zamanlarda verilen iki ayrı karar olarak ele alın. Bugün bir filtreyi onaylamak onu tutmaya söz vermek değildir ve bir profili kaldırmak, etkinken nelerin gözlemlendiğine dair sunucu tarafındaki kayıtları silmez.

Bildirim zaten çalıştırdığınız bir yazılımın güncellemesinden sonra geldiyse, tıklamadan önce o sürümün sürüm notlarını okuyun. Satıcılar sürümler arasında uzantı mimarisini gerçekten değiştirir ve yeni bir filtre rutin bir güncellemeyle gelebilir. Bildirim yeni bir ağa katılmanın ardından geldiyse, zamanlamayı kanıt olarak alın ve neyin değiştiğini inceleyin.

Kısa bir kayıt tutun: profil adı, uzantı tanımlayıcısı, operatör, eklenmişse sertifika parmak izi ve tarih. Bir sonraki kişi iletişim kutusunun ifadesinden değil, o zaman çizelgesinden başlayabilir.