Маршрут VPN не дае права ўваходу на ваш Mac здалёк

Далучэнне да працоўнай сеткі VPN само па сабе нічога не кажа пра тое, ці можа нехта ўвайсці на ваш Mac з іншага месца. Тры асобныя рэчы павінны супасці: сеткавы шлях, які дасягае машыны, служба доступу, якая працуе, і дазвол для пэўнага ўліковага запісу карыстацца гэтай службай. Тунель забяспечвае толькі першае. Усё астатняе на гэтай старонцы — пра праверку двух іншых без здагадак пра адказ.

Пачніце з службы або ўсталяванага кампанента, які мог бы забяспечыць аддалены доступ, і перастаньце рабіць выснову пра яго з індыкатара падключанага стану ў радку меню.

Тры сродкі кіравання, якія людзі зліваюць у адзін

Дасягальнасць адказвае на пытанне, ці могуць прыйсці пакеты. Служба абагульвання адказвае, ці нешта слухае машыну. Аўтарызацыя адказвае, якія ідэнтычнасці служба прымае і чаго яны могуць дакрануцца, трапіўшы ўнутры. VPN можа змяніць першы адказ, не закранаючы двух іншых, і менавіта таму гэтае пытанне ўвесь час дае дрэнныя высновы ў абодвух кірунках.

Інструкцыя Apple пра Remote Login — добры канкрэтны прыклад гэтага падзелу, бо яна жыве ў пэўным месцы і нясе ўласны выбар уліковых запісаў. Яна знаходзіцца ў System Settings, General, Sharing і апісвае доступ па SSH і SFTP з выбарам дазволеных карыстальнікаў. Поўны доступ да дыска для аддаленых карыстальнікаў — зноў асобная опцыя, што падмацоўвае думку: уключыць службу не тое ж самае, што даць усе магчымасці, якія служба можа прапанаваць.

Праверце, што насамрэч уключана

Прайдзіце панель Sharing і адзначце кожную ўключаную службу, а не толькі тую, якую вы чакалі. Remote Login, Screen Sharing і File Sharing адкрываюць кожная іншую паверхню, і ў кожнай свой спіс карыстальнікаў. Налада для SSH нічога не кажа пра абагульванне экрана, а наяўнасць функцыі абагульвання ў аперацыйнай сістэме нічога не кажа пра тое, ці хтосьці ёю карыстаўся.

Затым пералічыце, што яшчэ можа даваць доступ: агент аддаленай падтрымкі трэцяга боку, інструмент кіравання, усталяваны падчас рэгістрацыі, або сервер абагульвання экрана, убудаваны ў нешта іншае. Яны не паказваюцца ў панелі Sharing, і менавіта іх людзі забываюць пры аўдыце ноўтбука. Запішыце кожны агент, які вы не можаце апазнаць, бо невядомы працэс з портам праслухоўвання цікавейшы за знаёмы без яго. Кароткі спіс невядомых лепш за ўпэўненую выснову, пабудаваную на адной панэлі, якую вы выпадкова адкрылі.

Спытайце адміністратара, што ўсталявала рэгістрацыя

Калі працоўная рэгістрацыя ўключала профіль канфігурацыі, адабрэнне адміністратара або дадатковае праграмнае забеспячэнне, папрасіце чалавека, які гэтым кіруе, адказаць на тры пытанні: якія кампаненты ўсталяваныя, якія дазволы яны маюць і што застаецца актыўным пасля адключэння. Маршрут VPN і прывілеяваны агент канчатковага пункта маюць вельмі розныя магчымасці, і звычайна толькі адзін з іх бачны карыстальніку.

Для дазволенай дамовы аб аддаленай падтрымцы атрымайце ў пісьмовым выглядзе канкрэтыку: якія карыстальнікі ўпаўнаважаныя, якія аперацыі прадугледжаныя, ці з'яўляецца запыт на пацверджанне і як дамова здымаецца пасля заканчэння працы. Не давайце доступ усім карыстальнікам або шырокія дазволы на дыск толькі каб праверыць, ці можа падтрымка падключыцца, бо такая праверка назаўжды пашырае мяжу.

Калі вы знайшлі доказ і не чакалі яго

Незнаёмы журнал злучэнняў або ўключаны перамыкач — гэта зачэпка, а не доказ дзейнасці канкрэтнага чалавека. Захавайце адпаведныя несякрэтныя падзеі, запішыце час і выкарыстоўвайце працэс інцыдэнтаў арганізацыі або платформы замест таго, каб кагосьці сустракаць асабіста або выдаляць доказы ў надзеі, што ўсё вырашыцца само.

На кіраванай прыладзе папрасіце ўладальніка разгледзець прапанаваныя змены, перш чым вы адключыце сродак кіравання, якога патрабуе палітыка. На асабістай прыладзе, далучанай да працоўнай сеткі, папрасіце ясную мяжу рэгістрацыі і падтрыманую працэдуру выхаду, уключна з тым, што выдаляецца і што застаецца.

Карысны адказ называе механізм і паўнамоцтвы за ім. Ён ніколі не абяцае ні неабмежаванага доступу працадаўцы, ні поўнай бяспекі з-за ярлыка тунеля, і не блытае маршрут з уваходам.