Mac VPN op aanvraag: wat bewys 'n SSID-ooreenkoms werklik?
'n SSID-ooreenkoms is 'n reëlvoorwaarde, nie 'n bewys van vertroue nie. Bou die op-aanvraag-reël, kies die verstek vir onbekende netwerke en hou blokkering apart.
Om die VPN oral behalwe op die kantoor se Wi-Fi te koppel, klink na 'n beleid van twee reëls, en die moeilike deel was nooit om 'n netwerknaam te herken nie. Die moeilike deel is om te besluit wat 'n passende naam toegelaat word om te bewys. Enige toegangspunt kan 'n bekende SSID adverteer, en 'n suksesvolle ping na een adres bewys net dat een toets 'n antwoord gekry het. Nie een van die waarnemings bewys dat die Mac op 'n geauthentiseerde interne netwerk is nie.
'n Naam is nie 'n identiteit nie
'n SSID is 'n etiket wat 'n radio uitsaai. Dit is nie 'n sleutel, 'n sertifikaat of 'n verklaring oor wie die hardeware besit nie, en 'n lokaal of 'n naburige kantoor kan dieselfde string sonder enige koördinasie uitsaai. Om die etiket as 'n opdrag te behandel om beskerming af te skakel, gee die besluit aan wie ook al die naaste toegangspunt opgestel het.
Die ping-toets misluk om 'n subtieler rede: dit beantwoord 'n vraag oor bereikbaarheid, nie oor lidmaatskap nie. 'n Teiken wat reageer, kan van enige plek bereikbaar wees, kan slegs deur die tonnel bereikbaar wees waaroor jy probeer besluit, of kan 'n captive portal wees wat iets terugstuur wat soos 'n antwoord lyk. Bereikbaarheid is 'n nuttige feit en 'n swak vertrouensgrens.
Hoe On Demand 'n reëlstel evalueer
Apple se On Demand-model koppel 'n aksie aan opsionele netwerkkondisies, en die reëls word in volgorde geëvalueer: die eerste reël waarvan al die kondisies pas, lewer die aksie, en die res word nie geraadpleeg nie. Dié volgorde is die beleid, en daarom kan 'n reël wat net vir ingeval bygevoeg is, gedrag wat gewerk het, stilweg herskryf.
Die SSID-kondisie verwys na die huidige primêre gekoppelde netwerk, nie na elke naam wat in 'n skandering sigbaar is nie. Dit lewer drie afsonderlike toestande, en om hulle tot twee te verminder is die gewone opstellingsfout:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Stel dit op waar die beleid woon
'n Goedgekeurde VPN-kliënt of 'n bestuursworkflow is waar hierdie reël hoort, en verskillende verskaffers stel verskillende subsets van die beskikbare kontroles bloot. 'n Ontbrekende opsie in daardie paneel beteken dus die kliënt het dit nie blootgestel nie, nie dat die platform dit nie kan uitdruk nie.
Outomatiese aktivering benodig ook 'n verifikasie-reëling wat sonder 'n mens kan voltooi, soos 'n sertifikaat of 'n ander ondersteunde metode. 'n Gestoor eenmalige kode is nie dié reëling nie, en 'n reël wat afvuur terwyl verifikasie nie kan voltooi nie, lewer 'n verbindingspoging wat stil in die agtergrond misluk.
Twee patrone wat in die bedryfshandleiding geskryf moet word
Die eerste is die namaaknaam. 'n Konferensielokaal, 'n hotel of 'n huurder in dieselfde gebou adverteer die string wat jou reël as 'binne' beskou, en beskerming skakel af op presies die plek waar jy dit die minste sou wou hê. Die naam het nie gelieg nie; die reël het hom 'n vraag gevra wat hy nie kan antwoord nie.
Die tweede is die selfverydelende toets. 'n Skrip ping 'n private adres, sien 'n antwoord deur die tonnel, maak die gevolgtrekking dat dit reeds op die interne netwerk is en ontkoppel. Die toets misluk dan, so die skrip koppel weer en herhaal, en die tonnel ossilleer terwyl elke individuele stap korrek lyk. Enige toets waarvan die resultaat van die tonnel afhang, kan nie ook besluit of die tonnel moet bestaan nie.
Besluit die verstek, en handhaaf dan apart
Die onbekende-netwerkgeval en die bedrade geval het eksplisiete antwoorde nodig eerder as 'n geërfde verstek. As beskermde verkeer geblokkeer moet bly terwyl die stelsel nog die netwerk klassifiseer of die tonnel opbring, vereis dit 'n ondersteunde handhawingskontrole van sy eie; 'n On Demand-sneller verskaf verbindingsgedrag, nie 'n blokkeringswaarborg nie.
Korrek geskryf, noem die administrateurreël die goedgekeurde uitsondering, die bewyse wat dit regverdig, en die doelbewuste terugval wanneer daardie bewyse ontbreek. Om 'n Wi-Fi-naam te herken is geldige insette vir daardie besluit. Dit is nie die regverdiging vir die besluit nie, en dit moet nooit die enigste reël in die reël wees nie.