VPN قبل تسجيل الدخول على macOS: فتح القرص ونافذة الدخول والجلسة
فتح FileVault ونافذة تسجيل الدخول وجلسة المستخدم مراحل منفصلة. والعميل المكتبي الذي يبدأ عند تسجيل الدخول لا يحل إلا المرحلة الأخيرة منها.
هناك اعتقاد يكلف الناس أسبوعًا: أن للماك لحظة واحدة تُسمى قبل تسجيل الدخول، وأن عميل VPN إما يبدأ عندها أو لا يبدأ. لكن الجهاز فيه في الواقع ثلاث لحظات على الأقل يهم فيها الوصول إلى الشبكة، تفصل بينها هوية من يُسمح له بحمل بيانات الاعتماد عند تلك النقطة. والعميل الذي يُطلق من عنصر تسجيل الدخول يغطي واحدة منها بالضبط، وهي الأخيرة.
الأسطورة القائلة إن إعدادا واحدا يغطي الإقلاع كله
أعد قراءة صفحة المنتج وابحث عن المرحلة التي تسميها الميزة. مربع اختيار مكتوب عليه البدء عند تسجيل الدخول يعني عنصر تسجيل دخول يعمل بعد وجود جلسة مستخدم. ومربع اختيار مكتوب عليه الاتصال عند الطلب يعني أن العميل يفتح اتصالا عندما تطابق حركة المرور قاعدة، وهذا لا يزال يتطلب توفر العميل وبيانات اعتماده.
لا يصل أي منهما إلى عملية الإقلاع. وهذا ليس قيدا نسي البائع إزالته، بل هو ما يسمح به نظام التشغيل. قبل فتح المجلد المشفر لا يوجد نظام عامل يمكن إطلاق عميل منه، وبعد تسجيل الخروج تخرج أسرار المستخدم مع الجلسة. جداران منفصلان، ولا واحد منهما يستجيب لمربع اختيار مختلف.
بمجرد أن تفصل المراحل يتغير شكل السؤال الأصلي. فبدل أن تسأل هل يبدأ VPN قبل تسجيل الدخول، تسأل أي اللحظات الثلاث المحددة يجب أن تعمل، ثم تكتشف أن لكل واحدة منها مالكا مختلفا: حزمة التشفير، أو امتداد الشبكة، أو جلسة المستخدم.
ما يحدث فعليا في كل مرحلة
يبدأ التشغيل بمجلد مشفر يجب فتحه قبل أن يوجد نظام صالح لتشغيل أي شيء عام. ويحدث ذلك الفتح في سياق مقيد بمجموعة مقيدة من بيانات الاعتماد، وتوثق Apple بوضوح أن البيانات المشفرة تبقى غير متاحة دون فتح صالح.
ثم تأتي نافذة تسجيل الدخول، حيث يعمل النظام لكن لا توجد جلسة مستخدم بعد. الامتداد الذي يعمل في سياق المستخدم يكون قد انتهى إن سجل المستخدم الخروج، وقد يظل امتداد نظام عام يعمل، لكن العمل ليس هو نفسه حمل بيانات الاعتماد التي يحتاجها VPN.
ثم تأتي الجلسة، حيث يستطيع عميل عادي أن يقرأ سلسلة مفاتيح تسجيل الدخول، ويطلب عاملا ثانيا ويطبق المسارات المدفوعة. ومعظم ما يصفه الناس بأنه قبل تسجيل الدخول هو في الحقيقة هذه المرحلة، تثار في وقت مبكر من الجلسة لا قبلها.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
لماذا لا يستطيع عفريت الإطلاق تسجيل الدخول نيابة عن مستخدم غائب
الامتياز المرتفع يبدو كأنه يجب أن يحل المشكلة، وهو لا يحلها. عفريت الإطلاق يعمل كعملية نظام لا تقف خلفها جلسة مستخدم، فلا توجد سلسلة مفاتيح لفتحها ولا إنسان ليجيب على طلب. يستطيع أن يفتح مقبسا وأن يقرأ ملفا؛ وما لا يستطيعه هو أن يصبح المستخدم الذي يملك بيانات الاعتماد. الامتياز ليس هوية، وهذه هي النقطة التي يختلط فيها الاثنان بالضبط.
ما يبنيه الناس في تلك الفجوة هو سكربت فيه كلمة مرور، وهو مشكلة أسوأ من التي بدأوا بها.
النسخة الصادقة من المتطلب أضيق. إذا كان على الجهاز أن يصل إلى مورد محمي بينما لا يوجد أحد حاضر، فيجب أن تكون الهوية التي يقبلها ذلك المورد هوية يستطيع الجهاز حملها بلا إنسان: شهادة جهاز، أو بيانات اعتماد في سلسلة مفاتيح النظام، أو حساب ليس عامله الثاني دفعا إلى هاتف في جيب أحد. صمم تلك الهوية عن قصد، وسؤال المرحلة عادة يجيب عن نفسه.
ميزة Windows لما قبل تسجيل الدخول لا تنتقل
لدى Windows آلية موثقة للوصول قبل تسجيل الدخول في بعض منتجات الوصول عن بعد، والاسم يسافر أفضل من القدرة. والميزة الموصوفة في دليل نشر Windows لا تخبرك بشيء عن كون البائع نفسه ينفذ ما يعادلها على macOS.
اطلب بيانا يغطي عتاد Mac وإصدار macOS وإصدار العميل وطريقة المصادقة التي تستخدمها فعليا. والادعاء العام بالدعم لا يكفي، لأن الفرق بين العمل وعدم العمل غالبا يقيم في واحد من تلك الأربعة.
إذا لم يستطع البائع الإجابة، فذلك هو الجواب. خطط لمرحلة الجلسة وصمم بديلا لحالة عدم الحضور، بدلا من اكتشاف الفجوة أثناء النشر.
ما الذي تطلبه بدلا من ذلك
اكتب المتطلب بلغة المراحل. أي مورد، يحتاجه من، في أي سياق، وبأي تأخير مقبول عندما لا يكون الاتصال موجودا بعد؟
إذا كان الجواب مستخدما يسجل الدخول ثم يحتاج النفق، فاللاتصال عند الطلب وعنصر بدء كافيان وغير مكلفين. وإذا كان الجواب جهازا يعيد التشغيل ليلا ويجب أن يبلغ، فالتصميم يحتاج مسار فتح قرص مدعوما وهوية جهاز وعملية استرداد تعمل حين لا تصعد الشبكة أبدا. وإذا كان الجواب تسجيل دخول المؤسسة الذي يعتمد على النفق، فيجب بناء تصاميم الدخول والهوية وVPN معا لا شراؤها منفصلة.
تعد توثيق FileVault نقطة البداية الصحيحة لمرحلة الفتح. وكل ما بعده سؤال عميل وهوية يجب أن يحسمه بيان من البائع قبل الشراء.