Mac VPN-adminprompt: installasie, uitbreiding of beleid?

Wagwoordprompte van 'n VPN-kliënt lyk inruilbaar en is dit nie. Vier verskillende aksies skuil agter 'n soortgelyke dialoog: die skryf van lêers na 'n beskermde plek tydens installasie, die byvoeg of verander van 'n netwerkkonfigurasie, die aktivering van 'n stelseluitbreiding wat verkeer dra, en die nakoming van 'n beleid wat 'n bestuurderbediener reeds ingestel het. Elkeen het 'n ander eienaar, 'n ander impak en 'n ander manier om te verifieer dat dit gewerk het. Om die boodskap wat jy sien by een van dié vier te pas, is die hele oefening.

Drie verskillende goedkeurings lyk dieselfde

Installeerder-magtiging is die eenvoudigste geval: 'n pakket skryf na gidse wat 'n standaardgebruiker nie kan verander nie, en macOS vra administrateur-aanmeldgegewens om dit toe te laat. Die stelsel besluit nie of die sagteware veilig is nie; dit besluit of jy daar mag skryf. Dit is ook hoekom 'n pakket skoon kan installeer en steeds nutteloos kan wees: installasiegoedkeuring sê niks oor of die kode daarna mag loop nie. Nadat dit geïnstalleer is, het die app dalk nog 'n tweede goedkeuring nodig voordat dit netwerkverkeer kan beïnvloed.

Netwerkkonfigurasie-magtiging dek veranderinge aan die stelsel se verbindingslys. Om 'n VPN-diens by te voeg of instellings te verander wat 'n netwerkadministrateur opgestel het, vereis verheffing omdat daardie definisies elke rekening op die masjien raak. Hierdie goedkeuring gee konfigurasiebevoegdheid, nie verkeersbevoegdheid nie.

Uitbreidingsgoedkeuring is die een wat saak maak vir hoe pakkette beweeg. 'n Moderne kliënt installeer 'n stelseluitbreiding wat macOS in die stelsel laai, en macOS vereis 'n eksplisiete besluit onder Privaatheid en Sekuriteit of Aanmelditems en Uitbreidings voordat dit geaktiveer word. 'n Vierde geval is 'n bestuurde Mac, waar 'n beleid die uitbreiding reeds vooraf goedkeur en die gebruiker glad geen dialoog sien nie.

Wat elke goedkeuring werklik verander

'n Installeerder verander lêers op die skyf, en die gevolge daarvan eindig wanneer die lêers verwyder word, buiten oorblyfsels. 'n Netwerkkonfigurasie voeg 'n diensdefinisie by wat in die verbindingslys verskyn en deur op-aanvraag-reëls heraktiveer kan word. 'n Uitbreidingsgoedkeuring verander watter kode die stelsel sal laai en aan die gang sal hou, en daarom oorleef dit in sommige werkstrome die verwydering van die sigbare toepassing. Om 'n app-bondel te verwyder, verwyder nie altyd sy uitbreiding nie, en 'n uitbreiding wat agterbly, behou sy netwerkvoorregte.

Die onderskeid voorspel die simptoom. Geïnstalleer maar nooit verbind nie, beteken gewoonlik die uitbreiding is nêrens goedgekeur nie; verbind maar met instellings wat by die volgende verandering terugspring, beteken gewoonlik 'n bestuursbeleid besit die definisie.

Handtekening en uitgewer bepaal die antwoord

Voordat jy goedkeur, lees wie die ding onderteken het eerder as wat die dialoog se ikoon voorstel. Twee plaaslike kontroles is genoeg om die ondertekeningsowerheid te sien en of die stelsel se beoordeling op hierdie masjien slaag.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

'n Bondel sonder handtekening of notarisering is nie outomaties kwaadwillig nie, maar dit verdien 'n ander besluit as een met 'n handtekening van die uitgewer wat jy bedoel het. 'n Pakket wat deur 'n boodskap eerder as van die uitgewer se eie webwerf gekom het, is die geval waar die antwoord eenvoudig nee is.

Vergelyk die spanidentifiseerder met die uitgewer se gepubliseerde identiteit eerder as om die app se vertoonnaam te vertrou, want name is maklik om te hergebruik en identifiseerders nie. As die uitgewer die identifiseerder in sy installasiegids publiseer, is daardie bladsy die verwysing vir die vergelyking en ook die plek waar 'n wanverhouding gerapporteer moet word. 'n Kliënt van 'n herverkoper, 'n herverpakte bou of 'n draagbare kopie van 'n forum verdien meer agterdog as dieselfde uitgewer se ondertekende aflaai.

Wanneer 'n beleid die besluit besit

Op 'n korporatiewe Mac het die administrateur dalk al besluit. 'n Bestuursprofiel kan die VPN-definisie lewer, die uitbreiding vooraf goedkeur en die verbinding sluit sodat dit nie verwyder kan word nie. In daardie reëling is die versoek om 'n wagwoord in te voer dikwels 'n versoek om 'n besluit te verydel wat nooit joune was nie.

Om die opstartsekuriteit te verlaag of bestuur te ontkoppel om 'n installasie af te dwing, verander die masjien se bedreigingsmodel permanent om 'n tydelike probleem op te los. Daardie ruil word selde bewustelik gemaak; dit gebeur gewoonlik terwyl jy 'n forumberig volg. Vra eerder die administrateur vir die ondersteunde pad, wat dalk so eenvoudig is soos om die profiel weer te stuur of die uitbreiding aan die bedienerkant goed te keur. As die administrateur dit nie kan goedkeur nie, is daardie antwoord die bevinding, nie 'n hindernis om te omseil nie.

Bevestig die toestand ná goedkeuring

Sodra 'n gemagtigde goedkeuring gegee is, verifieer wat die stelsel dink eerder as wat die kliënt beweer. Die uitbreidingslys rapporteer aktiveringstatus sonder enige derdeparty-gereedskap.

systemextensionsctl list

'n Inskrywing wat as geaktiveer gewys word, behoort aan die spanidentifiseerder wat jy vroeër nagegaan het; 'n inskrywing wat as beëindig gewys word en op gebruikergoedkeuring wag, verduidelik 'n kliënt wat begin en nooit verkeer dra nie. As die prompt ná elke poging terugkom, teken die presiese boodskap en die kliëntweergawe vas, want 'n herhalende goedkeuring beteken gewoonlik die uitbreiding word vervang sonder dat die vorige gedeaktiveer is, en dit is 'n ondersteuningsgeval eerder as 'n wagwoordprobleem. Let op die weergawe voordat jy ondersteuning bel, want die oplossing bestaan dalk al in 'n nuwer bou en die gesprek sal daar begin.