Запыт адміністратара Mac VPN: усталяванне, пашырэнне ці палітыка?

Запыты пароля ад VPN-кліента выглядаюць узаемазаменнымі, але не з’яўляюцца такімі. За падобным дыялогам хаваюцца чатыры розныя дзеянні: запіс файлаў у абароненае месца падчас усталявання, даданне або змена наладкі сеткі, актывацыя сістэмнага пашырэння, якое перадае трафік, і выкананне палітыкі, якую ўжо задаў сервер кіравання. Кожнае мае іншага ўладальніка, іншы радыус уздзеяння і іншы спосаб праверыць, што яно спрацавала. Супастаўленне бачымага паведамлення з адным з гэтых чатырох — і ёсць усё практыкаванне.

Тры розныя адабрэнні выглядаюць аднолькава

Аўтарызацыя ўсталявальніка — найпрасцейшы выпадак: пакет запісвае ў каталогі, якія звычайны карыстальнік не можа змяняць, і macOS запытвае ўліковыя даныя адміністратара, каб дазволіць гэта. Сістэма не вырашае, ці бяспечна праграма; яна вырашае, ці можна вам там запісваць. Таму пакет можа ўсталявацца бездакорна і ўсё роўна быць бескарысным: адабрэнне ўсталявання нічога не кажа пра тое, ці дазволяць коду працаваць пасля. Пасля ўсталявання праграме можа спатрэбіцца яшчэ адно адабрэнне, перш чым яна паўплывае на сетку.

Аўтарызацыя наладкі сеткі ахоплівае змены ў спісе злучэнняў сістэмы. Даданне службы VPN або змена налад, якія наладзіў адміністратар сеткі, патрабуе павышэння правоў, бо гэтыя вызначэнні ўплываюць на кожны ўліковы запіс на машыне. Гэтае адабрэнне дае паўнамоцтвы на наладку, а не на трафік.

Адабрэнне пашырэння — тое, што важна для таго, як перамяшчаюцца пакеты. Сучасны кліент усталёўвае сістэмнае пашырэнне, якое macOS загружае ў сістэму, і macOS патрабуе яўнага рашэння ў раздзеле «Прыватнасць і бяспека» або «Элементы ўваходу і пашырэнні», перш чым актываваць яго. Чацвёрты выпадак — кіруемы Mac, дзе палітыка ўжо загадзя ўхваляе пашырэнне і карыстальнік зусім не бачыць дыялогу.

Што насамрэч змяняе кожнае адабрэнне

Усталявальнік змяняе файлы на дыску, і яго наступствы сканчаюцца, калі файлы выдаляюць, акрамя рэшткаў. Наладка сеткі дадае вызначэнне службы, якое з’яўляецца ў спісе злучэнняў і можа быць зноў актывавана правіламі па патрабаванні. Адабрэнне пашырэння змяняе, які код сістэма будзе загружаць і трымаць запушчаным, таму яно ў некаторых працэсах перажывае выдаленне бачнай праграмы. Выдаленне пакета праграмы не заўсёды выдаляе яго пашырэнне, а пакінутае пашырэнне захоўвае свае сеткавыя прывілеі.

Адрозненне прадказвае сімптом. Усталявана, але ніколі не злучаецца — звычайна азначае, што пашырэнне нідзе не ўхвалена; злучаецца, але з наладамі, якія вяртаюцца пры наступнай змене, — звычайна азначае, што вызначэннем валодае палітыка кіравання.

Подпіс і выдавец вырашаюць адказ

Перад адабрэннем прачытайце, хто падпісаў рэч, а не тое, што прапануе значок дыялогу. Дзвюх лакальных праверак дастаткова, каб убачыць орган подпісу і ці праходзіць ацэнка сістэмы на гэтай машыне.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Пакет без подпісу або без натарыяльнага зацвярджэння не аўтаматычна шкодны, але ён заслугоўвае іншага рашэння, чым падпісаны пакет ад патрэбнага вам выдаўца. Пакет, які прыйшоў праз паведамленне, а не з уласнага сайта выдаўца, — гэта выпадак, дзе адказ проста «не».

Параўнайце ідэнтыфікатар каманды з апублікаванай асобай выдаўца, а не давярайце назве праграмы, бо назвы лёгка паўторна выкарыстоўваць, а ідэнтыфікатары — не. Калі выдавец публікуе ідэнтыфікатар у кіраўніцтве па ўсталяванні, гэтая старонка — даведка для параўнання і месца, дзе трэба паведаміць пра неадпаведнасць. Кліент ад рэсэлера, перапакаваная зборка або партатыўная копія з форуму заслугоўваюць большай падазронасці, чым падпісанае спампоўванне таго ж выдаўца.

Калі рашэннем валодае палітыка

На карпаратыўным Mac адміністратар, магчыма, ужо вырашыў. Профіль кіравання можа даставіць вызначэнне VPN, загадзя ўхваліць пашырэнне і заблакаваць злучэнне так, што яго нельга выдаліць. У такой схеме запыт увесці пароль часта ёсць запытам адмяніць рашэнне, якое ніколі не было вашым.

Зніжэнне бяспекі загрузкі або адключэнне кіравання, каб прымусіць усталяванне, назаўсёды змяняе мадэль пагроз машыны дзеля рашэння часовай праблемы. Такі абмен рэдка робяць усвядомлена; звычайна гэта адбываецца, калі ісці за паведамленнем на форуме. Папрасіце ў адміністратара падтрымліваны шлях, які можа быць такім простым, як паўторная адпраўка профілю або ўхваленне пашырэння на баку сервера. Калі адміністратар не можа яго ўхваліць, гэты адказ і ёсць высновай, а не перашкодай, якую трэба абыходзіць.

Пацвердзіце стан пасля адабрэння

Пасля выдачы дазволенага адабрэння праверце, што думае сістэма, а не што сцвярджае кліент. Спіс пашырэнняў паведамляе стан актывацыі без патрэбы ў любой старонняй прыладзе.

systemextensionsctl list

Запіс, паказаны як актыўны, належыць ідэнтыфікатару каманды, які вы праверылі раней; запіс, паказаны як спынены ў чаканні адабрэння карыстальніка, тлумачыць кліент, які запускаецца і ніколі не перадае трафік. Калі запыт вяртаецца пасля кожнай спробы, захавайце дакладнае паведамленне і версію кліента, бо паўторнае адабрэнне звычайна азначае, што пашырэнне замяняюць, не дэактывуючы папярэдняе, і гэта выпадак для падтрымкі, а не праблема з паролем. Запішыце версію перад званком у падтрымку, бо выпраўленне можа ўжо існаваць у навейшай зборцы і размова пачнецца адтуль.