مطالبة المسؤول في Mac VPN: تثبيت أم إضافة أم سياسة؟

تبدو مطالبات كلمة المرور من عميل VPN قابلة للتبادل، لكنها ليست كذلك. تختبئ أربعة إجراءات مختلفة خلف نافذة متشابهة: كتابة ملفات في موقع محمي أثناء التثبيت، وإضافة إعداد شبكة أو تغييره، وتنشيط إضافة نظام تنقل حركة البيانات، والامتثال لسياسة سبق أن ضبطها خادم إدارة. لكل منها مالك مختلف ونطاق تأثير مختلف وطريقة مختلفة للتحقق من أنه نجح. إن مطابقة الرسالة التي تراها مع واحد من هذه الأربعة هي التمرين كله.

ثلاث موافقات مختلفة تبدو متطابقة

تفويض المثبِّت هو أبسط حالة: يكتب حزمة في مجلدات لا يستطيع مستخدم عادي تعديلها، ويطلب macOS بيانات اعتماد المسؤول للسماح بذلك. النظام لا يقرر ما إذا كان البرنامج آمنًا؛ بل يقرر ما إذا كان يُسمح لك بالكتابة هناك. ولهذا أيضًا يمكن تثبيت حزمة بسلاسة وتبقى مع ذلك عديمة الفائدة: لا تقول موافقة التثبيت شيئًا عن السماح للشيفرة بالعمل بعد ذلك. وبعد التثبيت، قد يحتاج التطبيق إلى موافقة ثانية قبل أن يؤثر في الشبكة.

يغطي تفويض إعداد الشبكة التغييرات في قائمة اتصالات النظام. تتطلب إضافة خدمة VPN أو تغيير إعدادات ضبطها مسؤول شبكة رفعَ الصلاحيات، لأن تلك التعريفات تمس كل حساب على الجهاز. هذه الموافقة تمنح صلاحية الإعداد، لا صلاحية حركة البيانات.

موافقة الإضافة هي التي تهم في كيفية انتقال الحزم. يثبّت العميل الحديث إضافة نظام يحمّلها macOS في النظام، ويطلب macOS قرارًا صريحًا في الخصوصية والأمان أو عناصر تسجيل الدخول والإضافات قبل تنشيطها. الحالة الرابعة هي جهاز Mac مُدار، حيث تعتمد سياسة الإضافة مسبقًا ولا يرى المستخدم أي نافذة على الإطلاق.

ما الذي يغيّره كل نوع من الموافقات فعليًا

يغيّر المثبِّت ملفات على القرص، وتنتهي عواقبه عند إزالة الملفات، باستثناء المخلفات. يضيف إعداد الشبكة تعريف خدمة يظهر في قائمة الاتصالات وقد يُعاد تنشيطه بقواعد الطلب عند الحاجة. تغيّر موافقة الإضافة الشيفرة التي سيحمّلها النظام ويُبقيها قيد التشغيل، ولهذا تبقى بعد إلغاء تثبيت التطبيق المرئي في بعض سير العمل. إزالة حزمة تطبيق لا تزيل إضافته دائمًا، والإضافة المتبقية تحتفظ بامتيازات الشبكة.

التمييز يتنبأ بالعَرَض. التثبيت دون اتصال أبدًا يعني عادة أن الإضافة غير معتمدة في أي مكان؛ الاتصال مع إعدادات تعود عند التغيير التالي يعني عادة أن سياسة إدارة تملك التعريف.

التوقيع والناشر يحددان الجواب

قبل الموافقة، اقرأ من وقّع الشيء بدلًا مما توحي به أيقونة النافذة. يكفي فحصان محليان لمعرفة سلطة التوقيع وما إذا كان تقييم النظام ينجح على هذا الجهاز.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

حزمة غير موقعة أو غير موثّقة ليست خبيثة تلقائيًا، لكنها تستحق قرارًا مختلفًا عن حزمة موقعة من الناشر الذي تقصده. الحزمة التي وصلت عبر رسالة بدلًا من موقع الناشر نفسه هي الحالة التي يكون الجواب فيها «لا» ببساطة.

قارن معرّف الفريق بهوية الناشر المنشورة بدلًا من الوثوق باسم التطبيق الظاهر، لأن الأسماء يسهل إعادة استخدامها بخلاف المعرّفات. إذا كان الناشر ينشر المعرّف في دليل التثبيت، فذلك الصفحة هي المرجع للمقارنة وأيضًا المكان الذي يجب الإبلاغ فيه عن أي عدم تطابق. العميل من موزّع أو نسخة معاد تجميعها أو نسخة محمولة من منتدى يستحق شكًّا أكبر من تنزيل موقّع من الناشر نفسه.

عندما تملك سياسة القرار

على جهاز Mac خاص بالشركة، ربما قرر المسؤول بالفعل. يمكن لملف تعريف إدارة أن يسلّم تعريف VPN ويعتمد الإضافة مسبقًا ويقفل الاتصال بحيث لا يمكن إزالته. في ذلك الترتيب، يكون طلب إدخال كلمة المرور غالبًا طلبًا لتجاوز قرار لم يكن لك يومًا.

خفض أمان بدء التشغيل أو فصل الإدارة لفرض تثبيت يغيّر نموذج تهديد الجهاز بشكل دائم لحل مشكلة مؤقتة. نادرًا ما تُتخذ هذه المقايضة بوعي؛ يحدث ذلك عادة أثناء اتباع منشور في منتدى. اطلب من المسؤول المسار المدعوم بدلًا من ذلك، وقد يكون بسيطًا مثل إعادة إرسال ملف التعريف أو اعتماد الإضافة من جانب الخادم. إذا لم يستطع المسؤول اعتمادها، فذلك الجواب هو النتيجة، لا عقبة للالتفاف حولها.

تأكيد الحالة بعد الموافقة

بعد منح موافقة مصرح بها، تحقق مما يعتقده النظام بدلًا مما يدّعيه العميل. تسرد قائمة الإضافات حالة التنشيط دون الحاجة إلى أي أداة خارجية.

systemextensionsctl list

الإدخال الظاهر كمنشّط ينتمي إلى معرّف الفريق الذي تحققت منه سابقًا؛ والإدخال الظاهر كمنتهٍ بانتظار موافقة المستخدم يفسر عميلًا يبدأ ولا ينقل حركة البيانات أبدًا. إذا عادت المطالبة بعد كل محاولة، فاحفظ الرسالة الدقيقة وإصدار العميل، لأن الموافقة المتكررة تعني عادة أن الإضافة تُستبدل دون تعطيل السابقة، وهذه حالة دعم لا مشكلة كلمة مرور. سجّل الإصدار قبل الاتصال بالدعم، لأن الإصلاح قد يكون موجودًا في بناء أحدث وستبدأ المحادثة من هناك.