Skriptiniz VPN-i işə salır; onu hazırlamır

Siz bağlantı adı ilə scutil --nc start işlədən skript yazırsınız, o sizin Mac-da işləyir və ofisdəki hər yeni quraşdırılmış maşında uğursuz olur. Skript xarab deyil. Ondan heç vaxt edə bilmədiyi bir şey istənilir: mövcud bağlantını başlatmaq, yenisini yaratmaqla eyni əməliyyat deyil.

Hazırlama və sessiya idarəetməsi iki sahibi olan iki işdir və əksini fərz edən iş axını yazıldığı maşında bütün testlərdən keçəcək.

Başlatma əmri əslində nə ilə danışır

Sessiya idarəetmə əmri artıq mövcud və artıq təsdiqlənmiş konfiqurasiyaya müraciət edir. O, sistemdən həmin adlı bağlantını əvvəl saxlanmış server parametrləri, şəxsiyyət istinadları və siyasətlə qaldırmasını xahiş edir. Əgər bunlar heç vaxt quraşdırılmayıbsa, başlatmaq üçün heç nə yoxdur.

Buna görə nasazlıq yeni avadanlıqda görünür, administratorun noutbukunda yox. Noutbuk aylar əvvəl bunu sonradan unutmuş bir şəxs tərəfindən hazırlanmışdı. Başlatma əmrini keçən rübdə kimsənin çəkdiyi qapı zəngi kimi düşünün. Ona basmaq naqilləri çəkməklə eyni şey deyil.

VPN konfiqurasiyasının üç sahibi

Təşkilat tərəfindən idarə olunan profil cihaz idarəetməsindən gəlir. Profil server ünvanlarını, autentifikasiya qaydasını və təşkilatın tələb etdiyi siyasəti daşıyır və VPN administratoru bunları təqdim edən şəxsdir. Skript bu parametrləri siyahıda tapdığı göstərmə adından yenidən qurmamalıdır.

Yerli şəxsi VPN konfiqurasiyası Apple-ın Network Extension API vasitəsilə yaradılır və bu, daxili IPsec və IKEv2 protokollarını əhatə edir. Bu, saxlama addımı və istifadəçi təsdiqi olan tətbiq interfeysidir, təchizatçının təqdim etdiyi hər hansı tunel növünü səssizcə yaradan shell əmri deyil.

Üçüncü tərəf müştərisi öz idxal formatı, öz idarəetmə aləti və çox vaxt öz imtiyazlı köməkçisi olan üçüncü haldır. Onun sessiyası həmin təchizatçının prosesinə aiddir. Bənzər adlı sistem xidməti tapmaq sistem əmrinin tuneli idarə etdiyinə dəlil deyil və bunu fərz etmək, təchizatçı müştərini yeniləyənə qədər işləyən görünən skriptlər yaradır.

Yerli hazırlamada saxlama və təsdiq var

Apple modeli yüklə, dəyişdir, saxla qaydasıdır. Tətbiq işə düşdükdən sonra ilk saxlamasından əvvəl mövcud üstünlükləri yükləyir, konfiqurasiyanı dəyişir və sonra saxlayır. Saxlama davam etdirə bilmədikdə xəta bildirir və həmin nəticəni nəzərə almamaq hazırlama nasazlığını üç addım sonra bağlantı nasazlığına çevirir.

İlk saxlama həmçinin istifadəçinin tətbiqi təsdiqləməsini tələb edir. Bu qəsdən qoyulmuş təhlükəsizlik sərhədidir və o deməkdir ki, yeni Mac-da ilk işə salma interaktivdir, hətta sonrakı bütün qoşulma və ayrılmalar avtomatlaşdırıla bilsə də. İlk işə salmanı insanın iştirakı ilə insan tapşırığı kimi planlaşdırın. İkinci işə salmadan başlayaraq avtomatlaşdırın və bunu runbook-da yazın ki, heç kim qeyri-mümkün olanı vəd etməsin. Tam nəzarətsiz ilk işə salma vəd edən yerləşdirmə planı platformanın təqdim etmədiyi bir şeyi vəd edir.

Apple həmçinin API-yə güvənməzdən əvvəl server uyğunluğunu konfiqurasiya profili ilə yoxlamağı tövsiyə edir. Bu yoxlamanı əvvəlcə etmək «server bu müştərini qəbul etməyəcək» ilə «müştəri parametrləri heç vaxt saxlamadı» hallarını ayırır və bunlar müxtəlif komandalar üçün müxtəlif biletlərdir.

Təkrarlana bilən başlatma əmrinin nəyi fərz edə biləcəyi

Hazırlamadan sonra skript mövcud bağlantını öz sahibinin interfeysi vasitəsilə etibarlı şəkildə hədəfləyə bilər. Ona bağlantının sabit kimliyini və istədiyiniz əməliyyatı verin, başqa heç nə. O, təxmin edilmiş üstünlük yolunu oxumamalı və menyuda göstərilən adın sistemdə unikal olduğunu fərz etməməlidir.

Yerli bağlantılar üçün scutil --nc start kimi adlı sessiya sorğusu idarəetmə əməliyyatıdır. O, server parametrlərini quraşdırmır, etimad məlumatlarını idxal etmir və ilk saxlama avtorizasiyasını yerinə yetirmir. Ona zəncirin son addımı kimi yanaşın, heç vaxt bütün zəncir kimi yox.

Sirləri əmr sətri arqumentlərindən və adi diaqnostik çıxışdan kənarda saxlayın. Yerləşdirmənin seçdiyi şəxsiyyət mexanizmi başlatma əmrinin güvənməli olduğu mexanizmdir və shell tarixçəsinə yapışdırılmış parol istənilən baxışda bir tapıntıdır.

İki qəbul yoxlaması

Birinci yoxlama hazırlamadır: yeni quraşdırılmış Mac götürün və konfiqurasiyanın mövcud, düzgün menecerə aid və tam təsdiqlənmiş olduğunu sübut edin. Bunu bağlantını sınaqdan keçirməzdən əvvəl edin, çünki hazırlanmamış maşında bağlantı sınağı skript haqqında heç nə sübut etmir.

İkinci yoxlama sessiyadır: qoşulun, icazəli resursa çatın və təmiz ayrılın. Artıq hər nasazlığın sahibi var və bu, iki işi ayırmağın praktik faydasıdır. Çatışmayan profil çatdırılma problemidir, saxlama xətası təsdiq problemidir, rədd edilmiş giriş autentifikasiya problemidir və uğurlu başlatmadan sonra baş verən fasilə sessiya qatıdır. Heç biri «skript xarabdır» deyil.