VPN маршрут не дава отдалечен вход към вашия Mac

Присъединяването към работна VPN мрежа само по себе си не казва нищо за това дали някой може да влезе във вашия Mac от друго място. Три отделни неща трябва да съвпаднат: мрежов път, който достига до машината, работеща услуга за достъп и разрешение за конкретен акаунт да използва тази услуга. Тунелът осигурява само първото. Всичко останало на тази страница е за проверка на другите две, без да се приема отговорът за даден.

Започнете от услугата или инсталирания компонент, който би осигурил отдалечен достъп, и спрете да го предполагате от индикатор за свързано състояние в лентата с менюта.

Три контрола, които хората сливат в един

Достижимостта отговаря дали пакетите могат да пристигнат. Услугата за споделяне отговаря дали нещо слуша на машината. Оторизацията отговаря кои идентичности приема услугата и до какво могат да се докоснат, след като влязат. VPN може да промени първия отговор, без да засяга другите два, и точно затова въпросът продължава да дава лоши заключения и в двете посоки.

Указанията на Apple за Remote Login са добър конкретен пример за това разделение, защото живеят на конкретно място и носят собствени избори за акаунти. Те се намират в System Settings, General, Sharing и описват достъп по SSH и SFTP с избор на разрешени потребители. Пълният достъп до диска за отдалечени потребители е отново отделна опция, което подсилва идеята: включването на услуга не е същото като предоставянето на всяка възможност, която услугата би могла да предложи.

Проверете какво всъщност е включено

Разгледайте панела Sharing и отбележете всяка включена услуга, не само тази, която сте очаквали. Remote Login, Screen Sharing и File Sharing отварят всяка различна повърхност и всяка има свой собствен списък с потребители. Настройка за SSH не казва нищо за споделянето на екран, а наличието на функция за споделяне в операционната система не казва нищо за това дали някой я е използвал.

След това опишете какво друго може да осигури достъп: агент за отдалечена поддръжка от трета страна, инструмент за управление, инсталиран при записването, или сървър за споделяне на екран, вграден в нещо друго. Те не се появяват в панела Sharing и точно те са компонентите, които хората забравят, когато одитират лаптоп. Запишете всеки агент, който не можете да идентифицирате, защото непознат процес с порт за слушане е по-интересен от познат без такъв. Кратък списък с неизвестни е по-добър от уверено заключение, изградено върху единствения панел, който случайно сте отворили.

Попитайте администратора какво е инсталирало записването

Ако работното записване е включвало профил за конфигурация, одобрение от администратор или допълнителен софтуер, помолете човека, който го управлява, да отговори на три неща: кои компоненти са инсталирани, какви разрешения имат и какво остава активно, след като се изключите. VPN маршрутът и привилегированият агент на крайна точка имат много различни възможности и обикновено само един от тях е видим за потребителя.

За разрешена договореност за отдалечена поддръжка получете конкретиката писмено: кои потребители са упълномощени, какви операции са предвидени, дали се появява подкана за потвърждение и как договореността се премахва, когато ангажиментът приключи. Не предоставяйте достъп за всички потребители или широки разрешения за диск само за да проверите дали поддръжката може да се свърже, защото тази проверка завинаги разширява границата.

Ако намерите доказателство и не сте го очаквали

Незнайният дневник на връзки или включен превключвател е следа, а не доказателство за дейността на конкретен човек. Запазете съответните несекретни събития, отбележете часовете и използвайте процеса за инциденти на организацията или платформата, вместо да се конфронтирате с някого или да изтривате доказателства в надежда, че проблемът ще се реши сам.

На управлявано устройство накарайте собственика му да прегледа предложените промени, преди да изключите контрол, който политиката изисква. На лично устройство, присъединено към работна мрежа, поискайте ясна граница на записването и поддържана процедура за излизане, включително какво се премахва и какво остава.

Полезният отговор назовава механизма и властта зад него. Той никога не обещава нито неограничен достъп на работодателя, нито пълна безопасност заради етикет на тунел, и не бърка маршрут с вход.