Mac'da filtrlangan yoki kuzatilayotgan VPN haqidagi ogohlantirish: u aslida nimaga ruxsat beradi

Bu ogohlantirish ruxsatnoma, tashxis emas. macOS bir konfiguratsiya trafikni filtrlaydi yoki kuzatadi desa, u siz tasdiqlagan komponent o'zi qoplaydigan yo'lni ko'ra olishini aytadi va bu maqbulmi, deb so'raydi. Muloqot oynasi komponentni kim yuritishini, u nimani yozib olishini yoki biror narsani shifrdan chiqarishini ayta olmaydi. Bu javoblar profilda, kengaytmalar ro'yxatida va mashinadagi sertifikatlarda, shuning uchun o'sha gapni qayta o'qish o'rniga o'sha yerdan boshlang.

So'rovni qamrov savoli sifatida o'qing

Har bir faollashtirish bildirishnomasi ularni aniq nomlamasdan ikki narsaga ishora qiladi: trafikni boshqaradigan kengaytma va trafikni unga yo'naltiruvchi konfiguratsiya. Hozirgi macOS'da bu komponentlar NetworkExtension tizim kengaytmalari bo'lib, ulardan birini o'rnatish yoki faollashtirish Tizim sozlamalarida tasdiq talab qiladi. Ifoda keng qoladi, chunki operatsion tizim tasdiqlovchi IT bo'limimi, obuna VPNmi yoki boshqa narsa bilan kelgan filtrlash agentimi — buni bila olmaydi.

Shuning uchun bir xil matn uch xil tuzilmani qamrab oladi. Boshqariladigan Mac qurilma boshqaruvidan profil oladi, shaxsiy Mac siz o'rnatgan ilovadan konfiguratsiya oladi, xavfsizlik mahsuloti esa o'zini hech qachon VPN deb ko'rsatmaydigan filtr o'rnatishi mumkin. Bu yorliqlarning hech biri niyatni aniqlamaydi. Ular faqat kimdan birinchi so'rash kerakligini aytadi.

Ikki buyruq bu holatlarni tez ajratadi. Birinchisi o'rnatilgan tizim kengaytmalarini va har birining faol yoki yo'qligini ro'yxatlaydi, ikkinchisi konfiguratsiya profillarini ularning yuklamalari va imzolagan tashkilot bilan ro'yxatlaydi.

systemextensionsctl list
profiles show -type configuration

Tunnelni filtrdan ajrating

Paket tunnel Mac'ga yo'l beradi va marshrutlash jadvali ichkariga yuborgan hamma narsani olib o'tadi. Kontent filtri oqim darajasida o'tiradi, har bir ulanishni ko'radi va uni ruxsat berishi, bloklashi yoki qayta yo'naltirishi mumkin. Mahsulot ikkalasini birga taqdim etishi mumkin va ogohlantirish bunda o'zgarmaydi. Bu farq muhim, chunki to'plashingiz mumkin bo'lgan dalillar va ko'radigan nosozliklar boshqacha.

Marketing nomini emas, kengaytma toifasini ko'ring. Tunnel odatda VPN konfiguratsiyasi va tarmoq kengaytmasi sifatida ko'rinadi, filtrda esa VPN xizmati umuman bo'lmasligi mumkin. Mahsulot ikki rejimni taklif qilsa, faol konfiguratsiya birini tanlaydi va rejimni almashtirish sotuvchini o'zgartirmasdan qamrovni o'zgartirishi mumkin.

Tunnel bor-yo'qligini ko'rishning eng tez usuli VPN xizmatlari ro'yxati. VPN bo'lmagan filtr unda ko'rinmaydi va bu o'zi foydali ma'lumot.

scutil --nc list

Ulangan nishoni qamrov dalili emas. Ilovalarni har bir ilova qoidalari bilan chiqarib tashlash mumkin va mahalliy tarmoqlarga trafik ko'pincha dizayn bo'yicha tunnelni chetlab o'tadi. Bitta ilova kuzatilmayotgandek tutsa, monitor buzilgan deb o'ylashdan oldin yo'l yoki istisnoga shubha qiling.

Operator yuklamani o'qimasdan nimani bilib oladi

Metama'lumot taskin sovrini emas. Manzillar, portlar, DNS nomlari, ulanish vaqtlari, baytlar soni va autentifikatsiyadan o'tgan shaxs yo'ldagi komponentga ko'rinadi. Bitta soatda bitta xostga takroriy tashriflar odat shakllantiradi va odat bitta sahifadan ko'proq narsani aytishi mumkin.

Odatiy savolga halol javob shu. Kontent muhrlangan qolsa ham operator qayerda va qachon ekanini ko'radi.

Yuklama ko'rinishi uchun ikkinchi, balandroq o'zgarish kerak. To'g'ri tekshirilgan HTTPS sessiyasi tunnel yoki oqim filtri uchun shaffof bo'lmagan holda qoladi; mahalliy fayllar va qoplangan yo'lga hech qachon kirmaydigan trafik ham shunday. Sahifa tanasini o'qish uchun Mac allaqachon ishonadigan sertifikat idorasi, ya'ni o'z tasdig'i bilan o'rnatilgan ushlash sertifikati kerak. Bu qadam chegarani metama'lumotdan kontentga o'tkazadi va alohida ko'rib chiqishga arziydi.

Qamrov qurilmada ham to'xtaydi. Bitta noutbukdagi tunnel telefon, planshet yoki shu Wi-Fi'dagi boshqa odamning mashinasini qoplamaydi, korporativ mijoz esa kafening boshqa mijozlarini ro'yxatga olmaydi. Qurilma boshqaruvi dasturi tunneldan ko'proq narsa to'plashi mumkin, lekin bu boshqa siyosat egasiga ega alohida nazorat.

Vahima qilishdan oldin sertifikat omborini ko'ring

Ishonchli ildiz trafikni kuzatish va uni o'qish o'rtasidagi farq. Tizim kalit halqasida siz tanimaydigan idoralarni ko'ring va so'rov paydo bo'lgan vaqtda paydo bo'lganlarini qayd eting. Boshqariladigan Mac ish beruvchi yuborgan tekshiruv ildizini qonuniy olib yurishi mumkin, unda suhbat administrator bilan bo'ladi. Tasodifan shundayini olgan shaxsiy Mac'da esa chora ko'rishga arziydigan topilma bor. Umumiy nomni, chiqaruvchini va qo'shilgan sanani yozib qo'ying, keyin savolga javob berish mumkin bo'lsin.

Bu ro'yxatni qurilma boshqaruvi xabar qilgan narsa bilan solishtiring. Profil ro'yxati va sertifikat ro'yxati mos kelmasa, Mac nimani qabul qilishini sertifikat ro'yxati hal qiladi.

Ikki buyruq tekshiruvning ko'p qismini qamrab oladi. Birinchisi konfiguratsiya profillarini chop etadi; ikkinchisi administrator boshqaradigan tizim kalit halqasidagi sertifikatlarni chop etadi, qo'shilgan ildiz odatda shu yerga tushadi.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Apple taqdim etadigan ildizlar alohida kalit halqada va bu yerda tashvish mavzusi emas. Shaxsiy Mac'da ikkinchi buyruqning bo'sh natijasi odatiy. To'la natija rad etishdan oldin har bir mavzu bo'yicha o'qishga arziydi.

Qaror qiling, keyin nima uchunligini yozing

Tasdiq operator, komponent va sababni ayta olganingizda va so'rov siz yoki tashkilotingiz qilgan tanlovga mos kelganda o'rinli. So'rov kontekstsiz, ayniqsa tarmoq o'zgarishi yoki aloqasiz o'rnatishdan keyin kelganda tekshiruv to'g'ri javob. Avval uzib qo'ying, profil identifikatori va kengaytmani qayd eting, keyin qaror qiling. Olib tashlash uchinchi yo'l va hisobga tegmasdan oldingi marshrutlashni tiklaydi.

Rozilik va olib tashlashni turli vaqtlarda qabul qilingan ikki alohida qaror deb biling. Bugun filtrni tasdiqlash uni saqlashga majbur qilmaydi va profilni olib tashlash u faol bo'lganida kuzatilgan narsalar haqidagi server yozuvlarini o'chirmaydi.

Agar bildirishnoma siz allaqachon ishlatayotgan dastur yangilanishidan keyin kelgan bo'lsa, bosishdan oldin o'sha versiyaning chiqarilish eslatmalarini o'qing. Sotuvchilar versiyalar orasida kengaytma arxitekturasini haqiqatan o'zgartiradi va yangi filtr odatiy yangilanish bilan kelishi mumkin. Agar bildirishnoma yangi tarmoqqa ulanishdan keyin kelgan bo'lsa, vaqtni dalil deb biling va nima o'zgarganini tekshiring.

Qisqa yozuv saqlang: profil nomi, kengaytma identifikatori, operator, agar qo'shilgan bo'lsa sertifikat barmoq izi va sana. Keyingi odam muloqot oynasi so'zlaridan emas, o'sha vaqt chizig'idan boshlashi mumkin.