Mac VPN при поискване: какво всъщност доказва съвпадението на SSID?
Съвпадението на SSID е условие в правило, а не доказателство за доверие. Създайте правилото за поискване, изберете поведението по подразбиране за неизвестна мрежа и пазете блокирането отделно.
Свързването на VPN навсякъде освен с офисния Wi-Fi звучи като политика от два реда и трудната част никога не е била разпознаването на име на мрежа. Трудната част е да решите какво има право да доказва съвпадащото име. Всяка точка за достъп може да обяви познат SSID, а успешният ping до един адрес доказва само, че една проверка е получила отговор. Нито едно от двете наблюдения не установява, че Mac е в удостоверена вътрешна мрежа.
Името не е идентичност
SSID е етикет, който радиото излъчва. Той не е ключ, сертификат или твърдение за това кой притежава хардуера, а зала или съседен офис може да излъчи същия низ без никаква координация. Да третирате етикета като указание да изключите защитата означава да предадете решението на този, който е настроил най-близката точка за достъп.
Тестът с ping се проваля по по-фина причина: той отговаря на въпрос за достижимост, а не за членство. Цел, която отговаря, може да е достижима отвсякъде, може да е достижима само през тунела, за който се опитвате да решите, или може да е портал за прихващане, който връща нещо, изглеждащо като отговор. Достижимостта е полезен факт и лоша граница на доверие.
Как On Demand оценява набор от правила
Моделът On Demand на Apple свързва действие с незадължителни мрежови условия и правилата се оценяват по ред: първото правило, чиито условия съвпадат изцяло, дава действието, а останалите не се разглеждат. Този ред е политиката и затова правило, добавено за всеки случай, може тихо да пренапише поведение, което е работело.
Условието за SSID се отнася до текущата основна свързана мрежа, а не до всяко име, видимо при сканиране. Това създава три отделни състояния и свеждането им до две е обичайната грешка при конфигуриране:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Настройте го там, където живее политиката
Одобрен VPN клиент или управленски работен процес е мястото, където принадлежи това правило, а различните доставчици показват различни подмножества от наличните контроли. Затова липсваща опция в този панел означава, че клиентът не я е показал, а не че платформата не може да я изрази.
Автоматичното активиране също се нуждае от схема за удостоверяване, която може да завърши без човек, например сертификат или друг поддържан метод. Съхранен еднократен код не е такава схема и правило, което се задейства, докато удостоверяването не може да завърши, създава опит за връзка, който тихо се проваля на заден план.
Два модела, които си струва да влязат в ръководството
Първият е имитиращото име. Конферентна зала, хотел или наемател в същата сграда излъчва низа, който вашето правило приема за „вътрешен“, и защитата се изключва точно там, където най-малко бихте искали. Името не излъга; правилото му зададе въпрос, на който то не може да отговори.
Вторият е самоунищожаващата се проверка. Скрипт прави ping до частен адрес, вижда отговор през тунела, заключава, че вече е във вътрешната мрежа и се изключва. После проверката се проваля, скриптът се свързва отново и повтаря, и тунелът трепти, докато всяка отделна стъпка изглежда правилна. Всеки тест, чийто резултат зависи от тунела, не може също да решава дали тунелът трябва да съществува.
Определете по подразбиране, после налагайте отделно
Случаят с неизвестна мрежа и кабелният случай се нуждаят от ясни отговори, а не от наследено поведение по подразбиране. Ако защитеният трафик трябва да остане блокиран, докато системата още класифицира мрежата или вдига тунела, това изисква собствен поддържан контрол за налагане; задействането на On Demand дава поведение на свързване, а не гаранция за блокиране.
Написано правилно, правилото на администратора посочва одобреното изключение, доказателствата, които го оправдават, и съзнателния резервен вариант, когато тези доказателства липсват. Разпознаването на име на Wi-Fi е законен вход за това решение. То не е оправданието на решението и никога не трябва да бъде единственият ред в правилото.