macOS-də girişdən əvvəl VPN: disk kilidinin açılması, giriş pəncərəsi və sessiya
FileVault kilidinin açılması, giriş pəncərəsi və istifadəçi sessiyası ayrı mərhələlərdir. Girişdə başlayan masaüstü klient yalnız sonuncusunu həll edir.
İnsanlara bir həftə baha başa gələn bir inanc var: Mac-ın girişdən əvvəl adlanan bir anı olduğu və VPN klientinin ya o anda başladığı, ya da başlamadığı. Əslində maşında şəbəkə girişinin vacib olduğu ən azı üç an var və onları həmin nöqtədə kimin etimad məlumatlarını saxlamaq hüququ olduğu ayırır. Giriş elementi vasitəsilə işə salınan klient onlardan düz birini əhatə edir və o da sonuncudur.
Bir ayarın bütün yüklənməni əhatə etdiyi mifi
Məhsul səhifəsini yenidən oxuyun və funksiyanın hansı mərhələni adlandırdığına baxın. Girişdə başlat işarəli qutu giriş elementi deməkdir və o, istifadəçi sessiyası yarandıqdan sonra işləyir. Tələb üzrə qoşul işarəli qutu klientin trafik bir qaydaya uyğun gəldikdə əlaqə açması deməkdir və bu da klientin və onun etimad məlumatlarının əlçatan olmasını tələb edir.
Bunların heç biri yüklənmə prosesinə çatmır. Bu, satıcının silməyi unutduğu məhdudiyyət deyil; əməliyyat sisteminin icazə verdiyi şeydir. Həcm açılmadan əvvəl klient işə salmaq üçün işləyən sistem yoxdur, çıxışdan sonra isə istifadəçinin sirləri sessiya ilə gedir. İki ayrı divar və heç biri başqa bir qutuya boyun əymir.
Mərhələləri ayırdıqdan sonra ilkin sual öz formasını dəyişir. VPN-in girişdən əvvəl başlayıb-başlamadığını soruşmaq əvəzinə, üç konkret andan hansının işləməli olduğunu soruşursunuz və sonra görürsünüz ki, hər birinin fərqli sahibi var: şifrələmə yığını, şəbəkə uzantısı və ya istifadəçi sessiyası.
Hər mərhələdə əslində nə baş verir
Yüklənmə şifrələnmiş həcmlə başlayır və hər hansı ümumi işi görmək üçün yararlı sistem olmadan onun kilidi açılmalıdır. Bu açma məhdud kontekstdə, məhdud etimad məlumatları dəsti ilə baş verir və Apple açıq şəkildə sənədləşdirir ki, etibarlı açılmadan şifrələnmiş məlumat əlçatan olmur.
Sonra giriş pəncərəsi gəlir: sistem işləyir, amma hələ istifadəçi sessiyası yoxdur. İstifadəçi çıxış edibsə, istifadəçi kontekstli uzantı artıq bitib, qlobal sistem uzantısı hələ işləyə bilər, lakin işləmək VPN-in ehtiyac duyduğu etimad məlumatlarını saxlamaq demək deyil.
Sonra sessiya gəlir və burada adi klient giriş açarlığını oxuya, ikinci faktor tələb edə və ötürülən marşrutları tətbiq edə bilər. İnsanların girişdən əvvəl adlandırdığı funksiyaların çoxu əslində bu mərhələdir və girişdən əvvəl deyil, sessiyanın əvvəlində işə düşür.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
Niyə launch daemon yox olan istifadəçi üçün giriş edə bilmir
Yüksək imtiyaz problemin həlli kimi görünür, amma deyil. Launch daemon arxasında istifadəçi sessiyası olmayan sistem prosesi kimi işləyir, ona görə açılacaq açarlıq və sorğuya cavab verəcək insan yoxdur. O, soket aça və fayl oxuya bilər; edə bilmədiyi şey etimad məlumatlarının sahibi olan istifadəçiyə çevrilməkdir. İmtiyaz kimlik deyil və ikisinin qarışdığı dəqiq yer budur.
İnsanların o boşluqda qurduğu şey içində parol olan skriptdir və bu, başladıqları problemdən daha pis bir problemdir.
Tələbin dürüst versiyası daha dardır. Maşın heç kim ortada olmayanda qorunan resursa çatmalıdırsa, o resursun qəbul etdiyi kimlik insan olmadan maşının saxlaya biləcəyi kimlik olmalıdır: cihaz sertifikatı, sistem açarlığında etimad məlumatı və ya ikinci faktoru kiminsə cibindəki telefonuna bildiriş olmayan hesab. Bu kimliyi qəsdən dizayn edin və mərhələ sualı adətən özünə cavab verir.
Windows-un girişdən əvvəl funksiyası köçmür
Windows-un bəzi uzaqdan giriş məhsulları üçün sənədləşdirilmiş girişdən əvvəl giriş mexanizmi var və ad imkandan daha yaxşı səyahət edir. Windows yerləşdirmə bələdçisində təsvir olunan funksiya eyni satıcının macOS-da ekvivalent tətbiq edib-etmədiyi barədə heç nə demir.
Mac aparatını, macOS buraxılışını, klient versiyasını və həqiqətən istifadə etdiyiniz autentifikasiya metodunu əhatə edən bəyanat istəyin. Ümumi dəstək iddiası kifayət etmir, çünki işləməklə işləməmək arasındakı fərq çox vaxt o dördün birində olur.
Satıcı cavab verə bilmirsə, cavab budur. Sessiya mərhələsi üçün plan qurun və nəzarətsiz hal üçün alternativ dizayn edin, boşluğu yerləşdirmə zamanı kəşf etmək əvəzinə.
Əvəzində nə tələb etməli
Tələbi mərhələlərin dilində yazın. Hansı resurs, kimə lazımdır, hansı kontekstdə və əlaqə hələ olmayanda hansı məqbul gecikmə ilə?
Cavab giriş edib sonra tunelə ehtiyac duyan istifadəçidirsə, tələb üzrə qoşulma və başlanğıc elementi kifayətdir və bahalı deyil. Cavab gecə yenidən yüklənən və hesabat verməli olan maşındırsa, dizayn dəstəklənən disk açma yolu, cihaz kimliyi və şəbəkə heç vaxt qalxmayanda işləyən bərpa prosesi tələb edir. Cavab tuneldən asılı olan təşkilat girişidirsə, giriş, kimlik və VPN dizaynları ayrı-ayrı alınmaq əvəzinə birlikdə qurulmalıdır.
Apple-ın FileVault sənədləri açma mərhələsi üçün düzgün başlanğıc nöqtəsidir. Ondan sonrakı hər şey klient və kimlik sualıdır və onu satıcı bəyanatı alışdan əvvəl həll etməlidir.