Mac VPN па запыце: што насамрэч даказвае супадзенне SSID?
Супадзенне SSID — гэта ўмова правіла, а не доказ даверу. Пабудуйце правіла «па запыце», выберыце прадвызначаныя паводзіны для невядомай сеткі і трымайце блакаванне асобна.
Падключэнне VPN усюды, акрамя офіснага Wi-Fi, гучыць як палітыка з двух радкоў, і цяжкай часткай ніколі не было распазнаванне назвы сеткі. Цяжкая частка — вырашыць, што матчаная назва мае права даказваць. Любая кропка доступу можа абвяшчаць знаёмы SSID, а паспяховы ping да адраса даказвае толькі тое, што адзін запыт атрымаў адказ. Ні адно з назіранняў не ўстанаўлівае, што Mac знаходзіцца ў аўтэнтыфікаванай унутранай сетцы.
Назва — гэта не ідэнтычнасць
SSID — гэта этыкетка, якую перадае радыё. Гэта не ключ, не сертыфікат і не сцвярджэнне пра тое, каму належыць абсталяванне, і пляцоўка ці суседні офіс могуць трансляваць той жа радок без усякай каардынацыі. Стаўленне да этыкеткі як да загаду выключыць ахову перадае рашэнне таму, хто наладзіў найбліжэйшую кропку доступу.
Тэст ping правальваецца з больш тонкай прычыны: ён адказвае на пытанне пра дасяжнасць, а не пра членства. Мэта, якая адказвае, можа быць дасяжная адкуль заўгодна, можа быць дасяжная толькі праз тунель, пра які вы спрабуеце вырашыць, або можа быць палоннай старонкай, што вяртае нешта падобнае на адказ. Дасяжнасць — карысны факт і дрэнная мяжа даверу.
Як On Demand ацэньвае набор правіл
Мадэль On Demand ад Apple спалучае дзеянне з неабавязковымі ўмовамі сеткі, і правілы ацэньваюцца па парадку: першае правіла, усе ўмовы якога супадаюць, дае дзеянне, а астатнія не разглядаюцца. Гэты парадак і ёсць палітыка, таму правіла, дададзенае «на ўсякі выпадак», можа моўчкі перапісаць паводзіны, якія працавалі.
Умова SSID датычыцца бягучай асноўнай падключанай сеткі, а не кожнай назвы, бачнай пры сканаванні. Гэта дае тры асобныя станы, і звядзенне іх да двух — звычайная памылка канфігурацыі:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Наладзьце там, дзе жыве палітыка
Зацверджаны кліент VPN або кіраўніцкі працоўны працэс — гэта месца, дзе павінна быць гэтае правіла, і розныя пастаўшчыкі адкрываюць розныя падмноствы даступных сродкаў кантролю. Таму адсутная опцыя ў гэтай панэлі азначае, што кліент яе не адкрыў, а не тое, што платформа не можа яе выразіць.
Аўтаматычная актывацыя таксама патрабуе схемы аўтэнтыфікацыі, якая можа завяршыцца без чалавека, напрыклад сертыфіката ці іншага падтрымліванага метаду. Захаваны аднаразовы код не з'яўляецца такой схемай, а правіла, якое спрацоўвае, пакуль аўтэнтыфікацыя не можа завяршыцца, стварае спробу злучэння, што ціха правальваецца ў фоне.
Дзве схемы, вартыя запісу ў кіраўніцтва
Першая — гэта капіявальная назва. Канферэнц-пляцоўка, гатэль або арандатар у тым жа будынку абвяшчае радок, які вашае правіла лічыць «унутры», і ахова адключаецца менавіта там, дзе вы хацелі б гэтага найменш. Назва не хлусіла; правіла задало ёй пытанне, на якое яна не можа адказаць.
Другая — гэта самапаразная праверка. Скрыпт робіць ping прыватнага адраса, бачыць адказ праз тунель, робіць выснову, што ён ужо ва ўнутранай сетцы, і адключаецца. Затым праверка правальваецца, скрыпт зноў падключаецца і паўтарае, і тунель вагаецца, пакуль кожны асобны крок выглядае правільным. Любы тэст, вынік якога залежыць ад тунеля, не можа таксама вырашаць, ці павінен тунель існаваць.
Вызначце прадвызначанае, потым ужывайце асобна
Выпадак невядомай сеткі і правадны выпадак патрабуюць яўных адказаў, а не ўспадкаванага прадвызначанага. Калі абаронены трафік павінен заставацца заблакаваным, пакуль сістэма яшчэ класіфікуе сетку або ўздымае тунель, гэта патрабуе ўласнага падтрымліванага сродку прымусу; трыгер On Demand дае паводзіны злучэння, а не гарантыю блакавання.
Калі напісана правільна, правіла адміністратара называе зацверджанае выключэнне, доказы, якія яго апраўдваюць, і свядомы рэзервовы варыянт, калі гэтых доказаў няма. Распазнаванне назвы Wi-Fi — законны ўваход для гэтага рашэння. Гэта не апраўданне рашэння, і яно ніколі не павінна быць адзіным радком у правіле.