Mac VPN عند الطلب: ماذا يثبت تطابق SSID فعلاً؟
تطابق SSID هو شرط في القاعدة، وليس دليلاً على الثقة. ابنِ قاعدة عند الطلب، واختر الافتراضي للشبكة المجهولة، وأبقِ الحجب منفصلاً.
يبدو ربط VPN في كل مكان باستثناء شبكة Wi-Fi المكتب وكأنه سياسة من سطرين، ولم يكن الجزء الصعب يومًا التعرف على اسم شبكة. الجزء الصعب هو تحديد ما يجوز لاسم مطابق أن يثبته. أي نقطة وصول يمكنها أن تعلن SSID مألوفًا، ونجاح ping إلى عنوان واحد لا يثبت إلا أن مسبارًا واحدًا تلقى ردًا. ولا تثبت أي من الملاحظتين أن جهاز Mac موجود على شبكة داخلية موثقة.
الاسم ليس هوية
SSID عبارة عن بطاقة يبثها الراديو. وهو ليس مفتاحًا ولا شهادة ولا بيانًا عن مالك العتاد، ويمكن لقاعة أو مكتب مجاور أن يبث السلسلة نفسها دون أي تنسيق. والتعامل مع البطاقة كأمر بإيقاف الحماية يسلّم القرار لمن أعدّ أقرب نقطة وصول.
يفشل اختبار ping لسبب أدق: فهو يجيب عن سؤال يتعلق بإمكانية الوصول، لا بالعضوية. فالهدف الذي يستجيب قد يكون قابلاً للوصول من أي مكان، أو لا يكون قابلاً للوصول إلا عبر النفق الذي تحاول أن تقرر بشأنه، أو قد يكون بوابة التقاط تعيد شيئًا يشبه الرد. وإمكانية الوصول حقيقة مفيدة وحدود ثقة سيئة.
كيف تقيّم ميزة عند الطلب مجموعة القواعد
يقترن نموذج عند الطلب من Apple بإجراء وشروط شبكة اختيارية، وتُقيَّم القواعد بالترتيب: فالقاعدة الأولى التي تنطبق شروطها جميعًا هي التي تقدم الإجراء، ولا يُرجَع إلى الباقي. وهذا الترتيب هو السياسة، ولهذا يمكن لقاعدة أُضيفت احتياطًا أن تعيد كتابة سلوك كان يعمل بصمت.
يشير شرط SSID إلى الشبكة الأساسية المتصلة حاليًا، لا إلى كل اسم ظاهر في الفحص. وينتج عن ذلك ثلاث حالات منفصلة، ودمجها في حالتين هو خطأ الإعداد المعتاد:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
اضبطها حيث تسكن السياسة
العميل المعتمد لـ VPN أو سير عمل إداري هو المكان الذي تنتمي إليه هذه القاعدة، ويقدم مزودون مختلفون مجموعات فرعية مختلفة من عناصر التحكم المتاحة. لذا فإن خيارًا غائبًا في تلك اللوحة يعني أن العميل لم يعرضه، لا أن المنصة عاجزة عن التعبير عنه.
يحتاج التنشيط التلقائي أيضًا إلى ترتيب مصادقة يمكن أن يكتمل دون إنسان، مثل شهادة أو طريقة مدعومة أخرى. والرمز لمرة واحدة المخزَّن ليس ذلك الترتيب، والقاعدة التي تنطلق بينما لا تستطيع المصادقة أن تكتمل تنتج محاولة اتصال تفشل بهدوء في الخلفية.
نمطان يستحقان الكتابة في دليل التشغيل
الأول هو الاسم المقلّد. فقاعة مؤتمرات أو فندق أو مستأجر في المبنى نفسه يعلن السلسلة التي تعاملها قاعدتك على أنها «داخل»، فتنطفئ الحماية في المكان الذي تريدها فيه أقل ما يمكن. لم يكذب الاسم؛ بل سألته القاعدة سؤالًا لا يستطيع الإجابة عنه.
الثاني هو المسبار الذي يهدم نفسه. يرسل نص برمجي ping إلى عنوان خاص، ويرى ردًا عبر النفق، ويستنتج أنه على الشبكة الداخلية بالفعل فيقطع الاتصال. ثم يفشل المسبار، فيعيد النص الاتصال ويكرر، ويتأرجح النفق بينما تبدو كل خطوة منفردة صحيحة. وأي اختبار تعتمد نتيجته على النفق لا يمكنه أيضًا أن يقرر ما إذا كان النفق ينبغي أن يوجد.
حدّد الافتراضي، ثم نفّذ الإنفاذ بشكل منفصل
تحتاج حالة الشبكة المجهولة والحالة السلكية إلى إجابات صريحة بدلًا من افتراضي موروث. وإذا كان يجب أن تظل حركة المرور المحمية محجوبة بينما لا يزال النظام يصنّف الشبكة أو يرفع النفق، فإن ذلك يتطلب عنصر تحكم إنفاذ مدعومًا خاصًا به؛ فمحفّز عند الطلب يوفّر سلوك اتصال، لا ضمان حجب.
عند كتابتها بشكل صحيح، تذكر قاعدة المسؤول الاستثناء المعتمد، والأدلة التي تبرره، والتراجع المتعمد عند غياب تلك الأدلة. والتعرف على اسم Wi-Fi مدخل مشروع لذلك القرار. وهو ليس تبرير القرار، ولا ينبغي أن يكون أبدًا السطر الوحيد في القاعدة.