Una ruta VPN no atorga accés remot al teu Mac

Unir-se a una VPN de feina no diu res, per si sol, sobre si algú pot iniciar sessió al teu Mac des d’un altre lloc. Han de coincidir tres coses separades: un camí de xarxa que arribi a la màquina, un servei d’accés que estigui en marxa i el permís perquè un compte concret faci servir aquest servei. El túnel només proporciona la primera. Tota la resta d’aquesta pàgina tracta de comprovar les altres dues sense donar la resposta per feta.

Comença pel servei o el component instal·lat que podria proporcionar accés remot, i deixa de deduir-ho a partir d’un indicador d’estat connectat a la barra de menús.

Tres controls que la gent fusiona en un

L’abastabilitat respon si els paquets poden arribar. Un servei de compartició respon si hi ha alguna cosa escoltant a la màquina. L’autorització respon quines identitats accepta el servei i què poden tocar un cop a dins. Una VPN pot canviar la primera resposta sense tocar les altres dues, i per això mateix la pregunta continua produint conclusions dolentes en tots dos sentits.

La guia d’Apple sobre l’accés remot és un bon exemple concret d’aquesta separació, perquè viu en un lloc específic i porta les seves pròpies opcions de compte. Es troba a Configuració del Sistema, General, Compartició, i descriu l’accés SSH i SFTP amb una selecció d’usuaris permesos. L’accés complet al disc per als usuaris remots és una altra opció a part, cosa que reforça el punt: activar un servei no és el mateix que concedir totes les capacitats que el servei podria oferir.

Comprova què està realment activat

Recorre el tauler de Compartició i anota cada servei que estigui activat, no només el que esperaves. L’accés remot, la compartició de pantalla i la compartició de fitxers obren cadascun una superfície diferent, i cadascun té la seva pròpia llista d’usuaris. Un paràmetre per a SSH no diu res sobre la compartició de pantalla, i la presència d’una funció de compartició al sistema operatiu no diu res sobre si algú l’ha fet servir.

Després inventaria què més podria donar accés: un agent de suport remot de tercers, una eina de gestió instal·lada durant l’alta o un servidor de compartició de pantalla inclòs amb una altra cosa. Aquests no apareixen al tauler de Compartició, i són els components que la gent oblida quan audita un portàtil. Anota cada agent que no puguis identificar, perquè un procés desconegut amb un port d’escolta és més interessant que un de conegut sense cap. Una llista curta de desconeguts val més que una conclusió segura construïda sobre l’únic tauler que vas obrir per casualitat.

Pregunta a l’administrador què va instal·lar l’alta

Si l’alta de feina va implicar un perfil de configuració, l’aprovació d’un administrador o programari addicional, demana a la persona que ho gestiona que respongui tres coses: quins components es van instal·lar, quins permisos tenen i què continua actiu després que et desconnectis. Una ruta VPN i un agent privilegiat de punt final tenen capacitats molt diferents, i normalment només un d’ells és visible per a l’usuari.

Per a un acord de suport remot permès, aconsegueix els detalls per escrit: quins usuaris estan autoritzats, quines operacions es preveuen, si apareix un avís de confirmació i com es retira l’acord quan acaba l’encàrrec. No concedeixis accés a tots els usuaris ni permisos de disc amplis només per provar si el suport es pot connectar, perquè aquesta prova amplia el límit de manera permanent.

Si trobes proves i no les esperaves

Un registre de connexions desconegut o un commutador activat és una pista, no una prova de l’activitat d’una persona concreta. Conserva els esdeveniments rellevants que no siguin secrets, anota les hores i utilitza el procés d’incidents de l’organització o de la plataforma en lloc d’enfrontar-te amb algú o esborrar proves amb l’esperança que es resolgui sol.

En un dispositiu gestionat, fes que el propietari revisi els canvis proposats abans que desactivis un control que la política exigeix. En un dispositiu personal unit a una xarxa de feina, demana un límit clar d’alta i un procediment de sortida amb suport, incloent què s’elimina i què es queda.

La resposta útil anomena el mecanisme i l’autoritat que hi ha darrere. Mai promet ni accés il·limitat de l’empresari ni seguretat completa gràcies a l’etiqueta d’un túnel, i no confon una ruta amb un inici de sessió.