Mac VPN po zahtjevu: šta SSID podudaranje zaista dokazuje?
SSID podudaranje je uslov pravila, a ne dokaz povjerenja. Napravite pravilo po zahtjevu, odaberite zadano za nepoznatu mrežu i držite blokiranje odvojeno.
Povezivanje VPN-a svuda osim na uredskom Wi-Fi-ju zvuči kao politika od dva reda, a teški dio nikada nije bilo prepoznavanje naziva mreže. Teški dio je odlučiti šta podudarni naziv smije dokazati. Svaka pristupna tačka može oglašavati poznati SSID, a uspješan ping na jednu adresu dokazuje samo da je jedna provjera dobila odgovor. Nijedno od tih zapažanja ne utvrđuje da je Mac na autentifikovanoj internoj mreži.
Naziv nije identitet
SSID je oznaka koju radio prenosi. To nije ključ, certifikat ni tvrdnja o tome ko posjeduje hardver, a prostor ili susjedni ured mogu emitovati isti niz bez ikakve koordinacije. Tretiranje oznake kao upute da se zaštita isključi predaje odluku onome ko je konfigurisao najbližu pristupnu tačku.
Ping test pada zbog suptilnijeg razloga: odgovara na pitanje o dostupnosti, a ne o članstvu. Meta koja odgovara može biti dostupna sa bilo kojeg mjesta, može biti dostupna samo kroz tunel o kojem pokušavate odlučiti, ili može biti captive portal koji vraća nešto što liči na odgovor. Dostupnost je korisna činjenica i loša granica povjerenja.
Kako On Demand procjenjuje skup pravila
Appleov On Demand model uparuje radnju s opcionalnim mrežnim uslovima, a pravila se procjenjuju po redu: prvo pravilo čiji svi uslovi odgovaraju daje radnju, a ostala se ne razmatraju. Taj redoslijed jeste politika, zbog čega pravilo dodano za svaki slučaj može tiho prepisati ponašanje koje je radilo.
Uslov SSID-a odnosi se na trenutnu primarnu povezanu mrežu, a ne na svaki naziv vidljiv pri skeniranju. To daje tri različita stanja, a njihovo svodi na dva je uobičajena greška u konfiguraciji:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Konfigurišite to tamo gdje politika živi
Odobreni VPN klijent ili upravljački tok rada mjesto je kojem ovo pravilo pripada, a različiti provajderi izlažu različite podskupove dostupnih kontrola. Zato nedostajuća opcija na tom panelu znači da je klijent nije izložio, a ne da je platforma ne može izraziti.
Automatska aktivacija takođe zahtijeva aranžman autentifikacije koji može završiti bez čovjeka, poput certifikata ili druge podržane metode. Sačuvani jednokratni kod nije takav aranžman, a pravilo koje se aktivira dok autentifikacija ne može završiti stvara pokušaj veze koji tiho pada u pozadini.
Dva obrasca koja vrijedi upisati u priručnik
Prvi je lažni naziv. Konferencijski prostor, hotel ili zakupac u istoj zgradi oglašava niz koji vaše pravilo tretira kao „unutra“, a zaštita se isključuje upravo tamo gdje to najmanje želite. Naziv nije lagao; pravilo mu je postavilo pitanje na koje ne može odgovoriti.
Drugi je samoporažavajuća provjera. Skripta pinguje privatnu adresu, vidi odgovor kroz tunel, zaključi da je već na internoj mreži i prekine vezu. Provjera zatim pada, pa se skripta ponovo povezuje i ponavlja, a tunel oscilira dok svaki pojedinačni korak izgleda ispravno. Nijedan test čiji rezultat zavisi od tunela ne može ujedno odlučivati treba li tunel postojati.
Odredite zadano, pa primjenjujte odvojeno
Slučaj nepoznate mreže i žičani slučaj trebaju eksplicitne odgovore umjesto naslijeđenog zadanog. Ako zaštićeni saobraćaj mora ostati blokiran dok sistem još klasifikuje mrežu ili podiže tunel, to zahtijeva vlastitu podržanu kontrolu primjene; On Demand okidač daje ponašanje povezivanja, a ne garanciju blokiranja.
Ispravno napisano, administratorsko pravilo navodi odobreni izuzetak, dokaz koji ga opravdava i namjernu rezervu kada taj dokaz izostane. Prepoznavanje Wi-Fi naziva legitiman je ulaz u tu odluku. To nije opravdanje odluke i nikada ne smije biti jedini red u pravilu.