Запыты дазволаў VPN на Mac: які з іх вы даяце?
Дазвол на наладку сеткі, доступ да сховішча ключоў, брандмаўэр і поўны доступ да дыска — гэта чатыры розныя дазволы. Давайце той, у якога ёсць дакументаваная мэта.
Кліент VPN просіць дазвол, і вы націскаеце «Дазволіць», бо альтэрнатыва — злучэнне, якое не ўсталёўваецца. Гэтая звычка — прычына, па якой машына атрымлівае шырокія дазволы, якія ніхто не можа патлумачыць. Запыты не ўзаемазаменныя: кожны дазваляе розную магчымасць, і адно і тое ж імя праграмы можа з’явіцца перад усімі. Прачытайце сказ пад значком, перш чым вырашаць.
Чатыры дазволы за звычайнымі запытамі
Захаванне наладкі VPN — першы. У macOS праграма, якая выкарыстоўвае ўласны Personal VPN API, патрабуе яўнага дазволу пры першым захаванні наладкі, таму дыялог з’яўляецца пры ўсталёўцы, а не пры падключэнні. Адмова пакідае кліент усталяваным, але без магчымасці захаваць профіль — гэта стан, які можна выправіць.
Сховішча ключоў — другі. Атрыманне захаванага пароля для пэўнага элемента — асобнае рашэнне ад даверу да сервера, які яго атрымае. Брандмаўэр — трэці, і яго кіраванне праграмамі рэгулюе ўваходныя злучэнні, а не тое, праз які інтэрфейс выходзіць ваш трафік. Поўны доступ да дыска — чацвёрты, і менавіта яго даюць з няправільных прычын.
| Prompt | What you are approving | What it does not prove |
|---|---|---|
| Save a VPN configuration | The configuration operation itself | That the gateway is legitimate or that the account works |
| Access a Keychain item | This component reading this credential | Trust in the server or access for other apps |
| Allow incoming connections | Traffic reaching the app from the network | That outgoing traffic uses the tunnel |
| Full Disk Access | Broad access to protected data | Anything about VPN configuration or login |
Поўны доступ да дыска ніколі не выпраўляе VPN
Даведнік Apple па прыватнасці апісвае поўны доступ да дыска як шырокі доступ, які ўключае даныя іншых праграм, рэзервовыя копіі і пэўныя адміністрацыйныя налады. Files & Folders — вузейшы кантроль, прывязаны да месцазнаходжання, які пакрывае большасць законных патрэб у файлах.
Некаторыя прадукты бяспекі сапраўды дакументуюць функцыю, якая патрабуе шырокага доступу, і калі так, запыт павінен называць кампанент і версію. Чаго не варта прымаць — гэта дыялог наладкі сеткі, на які адказваюць дазволам на дыск, бо першы дыялог увесь час вяртаўся.
Гэтыя два дазволы не маюць нічога агульнага. Калі даць адзін, каб заглушыць другі, застанецца больш выдадзенага доступу і тая ж нявырашаная праблема.
Інструкцыя: што рабіць з нечаканым запытам
Пачніце з дакладнай фармулёўкі і назвы кампанента, і зрабіце здымак экрана замест пераказу. Фармулёўка змяняецца ад версіі да версіі, і менавіта дакладны сказ пазнае пастаўшчык або адміністратар. Здымак экрана таксама спыняе спрэчкі пра тое, што дыялог сапраўды сказаў.
Затым вызначце, што менавіта просіць. Праверце версію праграмы і хто яе падпісаў, і пераканайцеся, што гэта той кліент, які вы думаеце ўсталяваны, а не дапаможны сродак, абнаўляльнік ці рэштка прадукту, які вы выдалілі.
Вырашайце адным пытаннем: ці ёсць у гэтага кампанента дакументаваная патрэба ў гэтай магчымасці ў гэтай версіі? Калі дакументацыя пастаўшчыка гэтага не кажа, адмоўце ў запыце і высветліце, чаму ён з’явіўся, бо непатлумачаны запыт — гэта інфармацыя, а не перашкода.
Пасля рашэння паўтарыце адну звычайную спробу злучэння і адзначце, ці нешта змянілася. Дазвол, выдадзены пасярод незвязанай праблемы, потым цяжка ацаніць, таму паслядоўнасць важная не менш за адказ.
Чаму той самы запыт вяртаецца
Паўтаральны дазвол звычайна азначае, што рашэнне не захоўваецца там, дзе чакае кампанент, элемент быў створаны нанова пры пераўсталёўцы, або палітыка кіравання скідвае яго. Адзначце, калі ён з’яўляецца: пры запуску, пры падключэнні, пры адключэнні або пасля перазагрузкі. Гэты час звужвае прычыну хутчэй за любы журнал, які вы прачытаеце потым.
На кіруемым Mac фактычны адказ можа прыйсці з профілю наладкі, а не ад вашага націску; у такім разе націск «Дазволіць» зноў нічога не вырашыць. Спытайце адміністратара, якая палітыка кіруе гэтым кампанентам, перш чым працягваць націскаць тую ж кнопку.
Калі запыт надзейна ідзе за пэўным дзеяннем, гэта прыдатная справаздача пра памылку. Калі ён з’яўляецца выпадкова, запішыце адзнакі часу за дзень і пашукайце заканамернасць у тым, чым яшчэ займалася машына.
Пакіньце запіс, якім зможа скарыстацца іншы
Запішыце кампанент, магчымасць, прычыну і дату ў тым жа месцы, дзе трымаеце астатнюю наладку. Будучы вы не ўспомніце, які дыялог і для чаго быў дазволены. Аднаго радка на дазвол дастаткова; інвентар, які ніхто не падтрымлівае, горш за адсутнасць.
Праверка добрага рашэння тут простая: ці можаце вы патлумачыць, навошта існуе гэты дазвол, не адкрываючы праграму? Калі не, гэта кандыдат на перагляд, і даведнік па наладах прыватнасці і бяспекі — месца, з якога варта пачаць чытаць, што насамрэч ахоплівае кожны з іх.