Mac VPN administratorski upit: instalacija, proširenje ili pravilo?

Upiti za lozinku iz VPN klijenta izgledaju zamjenjivo i nisu. Iza sličnog dijaloga kriju se četiri različite radnje: upisivanje datoteka na zaštićenu lokaciju tokom instalacije, dodavanje ili mijenjanje mrežne konfiguracije, aktiviranje sistemskog proširenja koje prenosi saobraćaj, i usklađivanje s pravilom koje je upravljački server već postavio. Svaka ima drugog vlasnika, drugi domet i drugi način da se provjeri da je uspjela. Usklađivanje poruke koju vidite s jednom od te četiri jeste cijela vježba.

Tri različita odobrenja izgledaju isto

Autorizacija instalatera je najjednostavniji slučaj: paket upisuje u direktorije koje standardni korisnik ne može mijenjati, a macOS traži administratorske akreditive da to dozvoli. Sistem ne odlučuje je li softver siguran; odlučuje smijete li tamo pisati. Zato se paket može čisto instalirati i opet biti beskoristan: odobrenje instalacije ne govori ništa o tome hoće li kodu biti dozvoljeno da radi kasnije. Nakon instalacije aplikaciji može trebati drugo odobrenje prije nego što utiče na mrežu.

Autorizacija mrežne konfiguracije pokriva promjene na listi veza sistema. Dodavanje VPN usluge ili mijenjanje postavki koje je mrežni administrator konfigurisao zahtijeva podizanje privilegija jer te definicije utiču na svaki račun na mašini. Ovo odobrenje daje ovlaštenje za konfiguraciju, ne za saobraćaj.

Odobrenje proširenja je ono koje je važno za to kako paketi putuju. Savremeni klijent instalira sistemsko proširenje koje macOS učitava u sistem, a macOS zahtijeva izričitu odluku u Privatnost i sigurnost ili Stavke prijave i proširenja prije nego što ga aktivira. Četvrti slučaj je upravljani Mac, gdje pravilo već unaprijed odobrava proširenje i korisnik uopće ne vidi dijalog.

Šta svako odobrenje zaista mijenja

Instalater mijenja datoteke na disku, a njegove posljedice prestaju kada se datoteke uklone, osim ostataka. Mrežna konfiguracija dodaje definiciju usluge koja se pojavljuje na listi veza i može se ponovo aktivirati pravilima na zahtjev. Odobrenje proširenja mijenja koji će kod sistem učitavati i držati pokrenutim, zbog čega u nekim tokovima rada preživi deinstalaciju vidljive aplikacije. Uklanjanje aplikacijskog paketa ne uklanja uvijek njegovo proširenje, a zaostalo proširenje zadržava mrežne privilegije.

Razlika predviđa simptom. Instalirano ali nikad se ne povezuje obično znači da proširenje nije odobreno nigdje; povezuje se ali s postavkama koje se vraćaju pri sljedećoj promjeni obično znači da definicijom upravlja pravilo upravljanja.

Potpis i izdavač određuju odgovor

Prije odobravanja pročitajte ko je potpisao stvar, a ne šta ikona dijaloga sugerira. Dvije lokalne provjere dovoljne su da vidite potpisno tijelo i prolazi li sistemska procjena na ovoj mašini.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Paket bez potpisa ili notarske ovjere nije automatski zlonamjeran, ali zaslužuje drugačiju odluku od potpisanog paketa izdavača kojeg ste namjeravali. Paket koji je stigao kroz poruku, a ne s izdavačevog vlastitog sajta, jeste slučaj u kojem je odgovor jednostavno ne.

Uporedite identifikator tima s objavljenim identitetom izdavača umjesto da vjerujete prikazanom imenu aplikacije, jer je imena lako ponovo koristiti, a identifikatore nije. Ako izdavač objavljuje identifikator u svom vodiču za instalaciju, ta stranica je referenca za poređenje i ujedno mjesto gdje treba prijaviti neslaganje. Klijent od preprodavača, prepakirana verzija ili prenosiva kopija s foruma zaslužuje više sumnje od potpisanog preuzimanja istog izdavača.

Kada odluku posjeduje pravilo

Na korporativnom Macu administrator je možda već odlučio. Profil upravljanja može dostaviti VPN definiciju, unaprijed odobriti proširenje i zaključati vezu tako da se ne može ukloniti. U takvom uređenju zahtjev za unos lozinke često je zahtjev da se poništi odluka koja nikada nije bila vaša.

Smanjivanje sigurnosti podizanja ili odvajanje upravljanja da bi se instalacija forsirala trajno mijenja model prijetnji mašine da bi se riješio privremeni problem. Ta razmjena rijetko se čini svjesno; obično se dogodi dok se prati objava na forumu. Umjesto toga pitajte administratora za podržani put, koji može biti jednostavan kao ponovno slanje profila ili odobravanje proširenja na strani servera. Ako administrator to ne može odobriti, taj odgovor je nalaz, a ne prepreka koju treba zaobići.

Potvrdite stanje nakon odobrenja

Kada je autorizirano odobrenje dato, provjerite šta sistem misli, a ne šta klijent tvrdi. Lista proširenja prijavljuje stanje aktivacije bez ikakvog alata treće strane.

systemextensionsctl list

Unos prikazan kao aktiviran pripada identifikatoru tima koji ste ranije provjerili; unos prikazan kao prekinut i čeka odobrenje korisnika objašnjava klijent koji se pokreće i nikada ne prenosi saobraćaj. Ako se upit vraća nakon svakog pokušaja, zabilježite tačnu poruku i verziju klijenta, jer ponavljajuće odobrenje obično znači da se proširenje zamjenjuje bez deaktivacije prethodnog, a to je slučaj za podršku, a ne problem s lozinkom. Zabilježite verziju prije poziva podršci, jer popravka možda već postoji u novijoj verziji i razgovor će početi odatle.