Cảnh báo VPN bị lọc hoặc bị giám sát trên Mac: nó thực sự cho phép điều gì

Cảnh báo đó là một giấy phép, không phải chẩn đoán. Khi macOS nói rằng một cấu hình sẽ lọc hoặc giám sát lưu lượng, nó cho bạn biết rằng một thành phần bạn đã phê duyệt có thể nhìn thấy đường đi mà nó bao phủ và hỏi liệu điều đó có chấp nhận được không. Hộp thoại không thể cho bạn biết ai vận hành thành phần đó, nó ghi lại gì, hay liệu nó có giải mã bất cứ thứ gì. Những câu trả lời đó nằm trong hồ sơ cấu hình, danh sách tiện ích mở rộng và các chứng thư trên máy, nên hãy bắt đầu từ đó thay vì đọc lại câu đó.

Đọc lời nhắc như một câu hỏi về phạm vi

Mỗi thông báo kích hoạt chỉ vào hai thứ mà không gọi tên rõ ràng: tiện ích mở rộng sẽ xử lý lưu lượng và cấu hình dẫn lưu lượng vào nó. Trên macOS hiện tại, các thành phần này là tiện ích mở rộng hệ thống NetworkExtension, và việc cài đặt hoặc kích hoạt một trong số chúng cần được phê duyệt trong Cài đặt Hệ thống. Cách diễn đạt vẫn rộng vì hệ điều hành không có cách nào biết người phê duyệt là một phòng IT, một VPN thuê bao, hay một tác nhân lọc đi kèm với thứ khác.

Đó là lý do cùng một đoạn văn bản bao phủ ba cách bố trí khác nhau. Một Mac được quản lý nhận hồ sơ từ quản lý thiết bị, một Mac cá nhân nhận cấu hình từ ứng dụng bạn đã cài, và một sản phẩm bảo mật có thể cài một bộ lọc chưa bao giờ tự giới thiệu là VPN. Không nhãn nào trong số đó xác định ý định. Chúng chỉ cho bạn biết nên hỏi ai trước.

Hai lệnh phân biệt nhanh các trường hợp đó. Lệnh thứ nhất liệt kê các tiện ích mở rộng hệ thống đã cài và liệu từng cái có đang hoạt động không, lệnh thứ hai liệt kê các hồ sơ cấu hình cùng tải trọng và tổ chức ký.

systemextensionsctl list
profiles show -type configuration

Phân biệt đường hầm với bộ lọc

Một đường hầm gói cấp cho Mac một tuyến đường và mang mọi thứ mà bảng định tuyến gửi vào đó. Một bộ lọc nội dung nằm ở cấp luồng, xem từng kết nối và có thể cho phép, chặn hoặc chuyển hướng nó. Một sản phẩm có thể cung cấp cả hai cùng lúc, và cảnh báo không thay đổi khi nó làm vậy. Sự khác biệt quan trọng vì bằng chứng bạn có thể thu thập và các lỗi bạn sẽ thấy là khác nhau.

Xem hạng mục tiện ích mở rộng chứ không phải tên tiếp thị. Đường hầm thường xuất hiện như một cấu hình VPN và một tiện ích mạng, trong khi bộ lọc có thể không có dịch vụ VPN nào cả. Nếu sản phẩm cung cấp cả hai chế độ, cấu hình đang hoạt động chọn một, và việc chuyển chế độ có thể thay đổi phạm vi bao phủ mà không đổi nhà cung cấp.

Danh sách dịch vụ VPN là cách nhanh nhất để xem đường hầm có tồn tại không. Một bộ lọc không phải VPN sẽ không xuất hiện trong đó, và bản thân điều đó đã là thông tin hữu ích.

scutil --nc list

Huy hiệu đã kết nối không phải bằng chứng về phạm vi bao phủ. Ứng dụng có thể bị loại trừ bằng quy tắc theo từng ứng dụng, và lưu lượng tới mạng cục bộ thường bỏ qua đường hầm theo thiết kế. Khi một ứng dụng hành xử như thể không bị giám sát, hãy nghi ngờ tuyến đường hoặc một ngoại lệ trước khi cho rằng bộ giám sát bị hỏng.

Nhà vận hành học được gì mà không cần đọc tải trọng

Siêu dữ liệu không phải giải thưởng an ủi. Địa chỉ, cổng, tên DNS, thời điểm kết nối, số byte và danh tính đã xác thực đều hiển thị với thành phần trên đường đi. Những lần truy cập lặp lại vào một máy chủ cùng giờ tạo nên thói quen, và thói quen có thể nói nhiều hơn một trang.

Đó là câu trả lời trung thực cho câu hỏi thường gặp. Nhà vận hành có thể thấy ở đâu và khi nào, ngay cả khi nội dung vẫn bị niêm phong.

Khả năng nhìn thấy tải trọng cần một thay đổi thứ hai, lớn hơn. Một phiên HTTPS được xác thực đúng vẫn không trong suốt với đường hầm hoặc bộ lọc luồng, và cả tệp cục bộ cùng lưu lượng không bao giờ đi vào đường đi được bao phủ cũng vậy. Đọc thân trang cần một tổ chức phát hành chứng thư mà Mac đã tin tưởng, nghĩa là một chứng thư chặn bắt được cài đặt với sự phê duyệt riêng. Bước đó chuyển ranh giới từ siêu dữ liệu sang nội dung và xứng đáng được xem xét riêng.

Phạm vi cũng dừng ở thiết bị. Một đường hầm trên một laptop không bao phủ điện thoại, máy tính bảng hay máy của người khác trên cùng Wi-Fi, và một ứng dụng khách doanh nghiệp không thể kiểm kê những khách khác của quán cà phê. Phần mềm quản lý thiết bị có thể thu thập nhiều hơn những gì đường hầm tiết lộ, nhưng đó là một kiểm soát riêng với chủ sở hữu chính sách khác.

Kiểm tra kho chứng thư trước khi hoảng

Một gốc tin cậy là khác biệt giữa nhìn lưu lượng và đọc nó. Kiểm tra chuỗi khóa hệ thống để tìm những tổ chức phát hành bạn không nhận ra, và ghi lại những cái xuất hiện quanh thời điểm lời nhắc xuất hiện. Một Mac được quản lý có thể mang hợp pháp một gốc kiểm tra do người sử dụng lao động đẩy xuống, và khi đó cuộc trò chuyện thuộc về quản trị viên. Một Mac cá nhân vô tình có được một gốc như vậy có một phát hiện đáng để hành động. Ghi lại tên chung, tổ chức phát hành và ngày thêm để có thể trả lời câu hỏi sau này.

So sánh danh sách đó với những gì quản lý thiết bị báo cáo. Nếu danh sách hồ sơ và danh sách chứng thư không khớp, danh sách chứng thư là thứ quyết định Mac sẽ chấp nhận gì.

Hai lệnh bao phủ phần lớn việc kiểm tra. Lệnh thứ nhất in các hồ sơ cấu hình; lệnh thứ hai in các chứng thư trong chuỗi khóa hệ thống do quản trị viên quản lý, nơi một gốc được thêm vào thường nằm.

profiles show -type configuration
security find-certificate -a -p /Library/Keychains/System.keychain

Các gốc do Apple cung cấp nằm trong một chuỗi khóa riêng và không phải mối lo ở đây. Kết quả trống từ lệnh thứ hai là chuyện thường trên Mac cá nhân. Một kết quả đầy đủ xứng đáng được đọc từng đối tượng trước khi bỏ qua.

Quyết định, rồi viết ra lý do

Phê duyệt là hợp lý khi bạn có thể nêu tên nhà vận hành, thành phần và lý do, và khi yêu cầu khớp với một lựa chọn mà bạn hoặc tổ chức của bạn đã đưa ra. Điều tra là phản ứng đúng khi lời nhắc đến mà không có ngữ cảnh, đặc biệt sau một thay đổi mạng hoặc một lần cài đặt không liên quan. Hãy ngắt kết nối trước, ghi lại mã định danh hồ sơ và tiện ích, rồi mới quyết định. Gỡ bỏ là con đường thứ ba, và nó khôi phục định tuyến trước đó mà không động đến tài khoản.

Hãy coi sự đồng ý và việc gỡ bỏ là hai quyết định riêng biệt được đưa ra ở những thời điểm khác nhau. Phê duyệt một bộ lọc hôm nay không ràng buộc bạn phải giữ nó, và gỡ bỏ một hồ sơ không xóa các bản ghi phía máy chủ về những gì đã quan sát khi nó còn hoạt động.

Nếu thông báo đến sau một bản cập nhật phần mềm bạn đã dùng, hãy đọc ghi chú phát hành của phiên bản đó trước khi bấm. Các nhà cung cấp thực sự thay đổi kiến trúc tiện ích mở rộng giữa các bản phát hành, và một bộ lọc mới có thể đến cùng một bản cập nhật thông thường. Nếu thông báo đến sau khi tham gia một mạng mới, hãy coi thời điểm là bằng chứng và kiểm tra điều gì đã thay đổi.

Giữ một bản ghi ngắn: tên hồ sơ, mã tiện ích mở rộng, nhà vận hành, dấu vân tay chứng thư nếu có thêm, và ngày. Người tiếp theo có thể bắt đầu từ dòng thời gian đó thay vì từ cách diễn đạt của hộp thoại.