Административен диалог на Mac VPN: инсталиране, разширение или политика?

Диалозите за парола от VPN клиент изглеждат взаимозаменяеми, но не са. Зад подобен диалог се крият четири различни действия: запис на файлове в защитена директория по време на инсталиране, добавяне или промяна на мрежова конфигурация, активиране на системно разширение, което пренася трафик, и спазване на политика, която сървър за управление вече е задал. Всяко има различен собственик, различен обхват на влияние и различен начин да се провери, че е проработило. Съпоставянето на съобщението, което виждате, с едно от тези четири е цялото упражнение.

Три различни одобрения изглеждат еднакво

Оторизацията на инсталатор е най-простият случай: пакет записва в директории, които стандартен потребител не може да променя, и macOS иска администраторски идентификационни данни, за да го разреши. Системата не решава дали софтуерът е безопасен; тя решава дали вие може да пишете там. Затова пакет може да се инсталира чисто и пак да е безполезен: одобрението за инсталиране не казва нищо за това дали кодът ще бъде допуснат да работи след това. След инсталирането приложението може да се нуждае от второ одобрение, преди да повлияе на мрежата.

Оторизацията за мрежова конфигурация обхваща промени в списъка с връзки на системата. Добавянето на VPN услуга или промяната на настройки, които мрежов администратор е конфигурирал, изисква повишаване на правата, защото тези дефиниции засягат всеки акаунт на машината. Това одобрение дава правомощия за конфигурация, не за трафик.

Одобрението на разширение е това, което има значение за това как пътуват пакетите. Модерният клиент инсталира системно разширение, което macOS зарежда в системата, и macOS изисква изрично решение в „Поверителност и сигурност“ или „Обекти за вход и разширения“, преди да го активира. Четвърти случай е управляван Mac, където политика вече предварително одобрява разширението и потребителят изобщо не вижда диалог.

Какво всъщност променя всяко одобрение

Инсталаторът променя файлове на диска и последствията му свършват, когато файловете бъдат премахнати, освен остатъците. Мрежовата конфигурация добавя дефиниция на услуга, която се появява в списъка с връзки и може да бъде активирана отново от правила при поискване. Одобрението на разширение променя кой код системата ще зарежда и поддържа работещ, поради което в някои работни процеси то оцелява при деинсталиране на видимото приложение. Премахването на пакет на приложение не винаги премахва разширението му, а оставеното разширение запазва мрежовите си привилегии.

Разликата предсказва симптома. Инсталирано, но никога не се свързва, обикновено означава, че разширението не е одобрено никъде; свързва се, но с настройки, които се връщат при следващата промяна, обикновено означава, че дефиницията се притежава от политика за управление.

Подписът и издателят решават отговора

Преди да одобрите, прочетете кой е подписал нещото, а не какво подсказва иконата на диалога. Две локални проверки са достатъчни, за да видите органа по подписването и дали оценката на системата минава на тази машина.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Пакет без подпис или без нотариално заверка не е автоматично злонамерен, но заслужава различно решение от подписан пакет от издателя, когото сте имали предвид. Пакет, пристигнал чрез съобщение, а не от собствения сайт на издателя, е случаят, в който отговорът е просто „не“.

Сравнете идентификатора на екипа с публикуваната идентичност на издателя, вместо да се доверявате на показваното име на приложението, защото имената лесно се използват повторно, а идентификаторите не. Ако издателят публикува идентификатора в ръководството си за инсталиране, тази страница е отправната точка за сравнението и също мястото, където трябва да се съобщи несъответствие. Клиент от посредник, преопаковано издание или преносимо копие от форум заслужава повече подозрение от подписаното изтегляне на същия издател.

Когато политика притежава решението

На корпоративен Mac администраторът може вече да е решил. Профил за управление може да достави дефиницията на VPN, да одобри предварително разширението и да заключи връзката, така че да не може да бъде премахната. При такава подредба искането за въвеждане на парола често е искане да се отмени решение, което никога не е било ваше.

Намаляването на сигурността при стартиране или откачването на управлението, за да се наложи инсталиране, променя модела на заплахи на машината за постоянно, за да реши временен проблем. Тази размяна рядко се прави съзнателно; обикновено се случва, докато се следва публикация във форум. Вместо това поискайте от администратора поддържания път, който може да е толкова прост, колкото повторно изпращане на профила или одобряване на разширението от страна на сървъра. Ако администраторът не може да го одобри, този отговор е констатацията, а не препятствие, което да се заобикаля.

Потвърдете състоянието след одобрението

След като бъде дадено оторизирано одобрение, проверете какво мисли системата, а не какво твърди клиентът. Списъкът с разширения показва състоянието на активиране, без да е нужен инструмент от трета страна.

systemextensionsctl list

Запис, показан като активиран, принадлежи на идентификатора на екипа, който проверихте по-рано; запис, показан като прекратен в очакване на одобрение от потребителя, обяснява клиент, който стартира и никога не пренася трафик. Ако диалогът се връща след всеки опит, запишете точното съобщение и версията на клиента, защото повтарящото се одобрение обикновено означава, че разширението се заменя, без предишното да е деактивирано, и това е случай за поддръжка, а не проблем с парола. Запишете версията, преди да се обадите на поддръжката, защото поправката може вече да съществува в по-нова сборка и разговорът ще започне оттам.