VPN voor aanmelding op macOS: ontsluiting, aanmeldvenster en sessie
FileVault-ontsluiting, die aanmeldvenster en 'n gebruikersessie is afsonderlike fases. 'n Lessenaarkliënt wat by aanmelding begin, los net die laaste een op.
Hier is 'n oortuiging wat mense 'n week kos: dat 'n Mac een oomblik het wat voor aanmelding genoem word, en dat 'n VPN-kliënt dan óf begin óf nie. Die masjien het eintlik minstens drie oomblikke waar netwerktoegang saak maak, geskei deur wie op daardie punt magtiging het om geloofsbriewe te hou. 'n Kliënt wat uit 'n aanmelditem begin, dek presies een daarvan, en dit is die laaste.
Die mite dat een instelling die hele opstart dek
Lees die produkblad weer en kyk watter fase die funksie noem. 'n Merkie met die naam begin by aanmelding beteken 'n aanmelditem, wat loop nadat 'n gebruikersessie bestaan. 'n Merkie met die naam verbind op aanvraag beteken die kliënt maak 'n verbinding oop wanneer verkeer by 'n reël pas, wat steeds vereis dat die kliënt en sy geloofsbriewe beskikbaar is.
Nie een van dié bereik die opstartproses nie. Dit is nie 'n beperking wat die verskaffer vergeet het om te verwyder nie; dit is wat die bedryfstelsel toelaat. Voordat die volume ontsluit is, is daar geen lopende stelsel om 'n kliënt uit te begin nie, en ná afmelding vertrek die gebruiker se geheime saam met die sessie. Twee aparte mure, en nie een wyk vir 'n ander merkie nie.
Sodra jy die fases skei, verander die oorspronklike vraag van vorm. In plaas daarvan om te vra of die VPN voor aanmelding begin, vra jy watter van drie spesifieke oomblikke moet werk, en dan ontdek jy dat elkeen 'n ander eienaar het: die enkripsiestapel, die netwerkuittbreiding, of die gebruikersessie.
Wat op elke fase werklik gebeur
Opstart begin met 'n geënkripteerde volume wat ontsluit moet word voordat daar 'n bruikbare stelsel is om enigiets algemeen te laat loop. Daardie ontsluiting gebeur in 'n beperkte konteks met 'n beperkte stel geloofsbriewe, en Apple dokumenteer duidelik dat geënkripteerde data ontoeganklik bly sonder 'n geldige ontsluiting.
Volgende kom die aanmeldvenster, waar die stelsel loop maar daar nog geen gebruikersessie bestaan nie. 'n Uitbreiding in gebruikerskonteks het al geëindig as die gebruiker afgemeld het, en 'n globale stelseluitbreiding mag nog loop, maar loop is nie dieselfde as om die geloofsbriewe te hou wat jou VPN nodig het nie.
Dan kom die sessie, waar 'n gewone kliënt die aanmeld-sleutelbos kan lees, vir 'n tweede faktor kan vra en gepubliseerde roetes kan toepas. Die meeste funksies wat mense as voor-aanmelding beskryf, is eintlik hierdie fase, vroeg in die sessie geaktiveer eerder as voor dit.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
Waarom 'n bekendstellingsdaemon nie vir 'n afwesige gebruiker kan aanmeld nie
Verhoogde bevoegdheid voel asof dit die probleem moet oplos, en dit doen nie. 'n Bekendstellingsdaemon loop as 'n stelselproses sonder 'n gebruikersessie agter hom, so daar is geen sleutelbos om te ontsluit nie en geen mens om 'n vraag te antwoord nie. Dit kan 'n sok oopmaak en 'n lêer lees; wat dit nie kan doen nie, is om die gebruiker te word wat die geloofsbriewe besit. Bevoegdheid is nie identiteit nie, en dit is presies die punt waar die twee verwar word.
Wat mense in daardie gaping bou, is 'n script met 'n wagwoord in, wat 'n erger probleem is as die een waarmee hulle begin het.
Die eerlike weergawe van die vereiste is smaller. As die masjien 'n beskermde hulpbron moet bereik terwyl niemand teenwoordig is nie, dan moet die identiteit wat daardie hulpbron aanvaar, een wees wat die masjien sonder 'n persoon kan hou: 'n toestelsertifikaat, 'n geloofsbrief in die stelselsleutelbos, of 'n rekening waarvan die tweede faktor nie 'n stoot na 'n selfoon in iemand se sak is nie. Ontwerp daardie identiteit doelbewus, en die fasevraag antwoord gewoonlik homself.
Die Windows-funksie voor aanmelding dra nie oor nie
Windows het 'n gedokumenteerde toegangsmeganisme voor aanmelding vir sommige afstandtoegangprodukte, en die naam reis beter as die vermoë. 'n Funksie wat in 'n Windows-ontplooiingsgids beskryf word, sê niks oor of dieselfde verskaffer 'n ekwivalent op macOS implementeer nie.
Vra vir 'n verklaring wat die Mac-hardeware, die macOS-weergawe, die kliëntweergawe en die verifikasiemetode dek wat jy werklik gebruik. 'n Algemene bewering van ondersteuning is nie genoeg nie, want die verskil tussen werk en nie werk sit dikwels in een van daardie vier.
As die verskaffer nie kan antwoord nie, is dit die antwoord. Beplan vir die sessiefase en ontwerp 'n alternatief vir die geval sonder toesig, eerder as om die gaping tydens 'n ontplooiing te ontdek.
Wat om eerder te vra
Skryf die vereiste in die taal van die fases. Watter hulpbron, deur wie nodig, in watter konteks, en met watter aanvaarbare vertraging wanneer die verbinding nog nie daar is nie?
As die antwoord 'n gebruiker is wat aanmeld en dan die tonnel nodig het, is verbind-op-aanvraag en 'n opstartitem voldoende en goedkoop. As die antwoord 'n masjien is wat oornag herbegin en moet rapporteer, het die ontwerp 'n ondersteunde skyf-ontsluitingsroete, 'n toestelidentiteit en 'n herstelproses nodig wat werk wanneer die netwerk nooit opkom nie. As die antwoord organisasie-aanmelding is wat van die tonnel afhang, dan moet die aanmeld-, identiteits- en VPN-ontwerpe saam gebou word eerder as apart gekoop word.
Apple se FileVault-dokumentasie is die regte beginpunt vir die ontsluitingsfase. Alles daarna is 'n kliënt- en identiteitsvraag wat 'n verskafferverklaring voor jou koop moet besleg.