Avís d’administrador de Mac VPN: instal·lació, extensió o política?

Els avisos de contrasenya d’un client VPN semblen intercanviables i no ho són. Quatre accions diferents s’amaguen darrere d’un diàleg semblant: escriure fitxers en una ubicació protegida durant la instal·lació, afegir o canviar una configuració de xarxa, activar una extensió del sistema que transporta el trànsit, i complir una política que ja ha definit un servidor de gestió. Cadascuna té un propietari diferent, un abast diferent i una manera diferent de verificar que ha funcionat. Fer coincidir el missatge que veieu amb una d’aquestes quatre és tot l’exercici.

Tres aprovacions diferents semblen iguals

L’autorització de l’instal·lador és el cas més simple: un paquet escriu en directoris que un usuari estàndard no pot modificar, i macOS demana credencials d’administrador per permetre-ho. El sistema no decideix si el programari és segur; decideix si hi podeu escriure. Per això un paquet es pot instal·lar net i continuar sent inútil: l’aprovació d’instal·lació no diu res sobre si es permetrà que el codi s’executi després. Un cop instal·lada, l’aplicació encara pot necessitar una segona aprovació abans de poder influir en la xarxa.

L’autorització de configuració de xarxa cobreix els canvis a la llista de connexions del sistema. Afegir un servei VPN o canviar paràmetres que ha configurat un administrador de xarxa requereix elevació perquè aquestes definicions afecten tots els comptes de la màquina. Aquesta aprovació atorga autoritat sobre la configuració, no sobre el trànsit.

L’aprovació d’extensió és la que importa per com viatgen els paquets. Un client modern instal·la una extensió del sistema que macOS carrega al sistema, i macOS exigeix una decisió explícita a Privadesa i seguretat o Elements d’inici i extensions abans d’activar-la. El quart cas és un Mac gestionat, on una política ja aprova prèviament l’extensió i l’usuari no veu cap diàleg.

Què canvia realment cada aprovació

Un instal·lador canvia fitxers al disc, i les seves conseqüències acaben quan s’eliminen els fitxers, tret de les restes. Una configuració de xarxa afegeix una definició de servei que apareix a la llista de connexions i es pot reactivar amb regles sota demanda. L’aprovació d’extensió canvia quin codi carregarà i mantindrà en execució el sistema, i per això en alguns fluxos de treball sobreviu a la desinstal·lació de l’aplicació visible. Eliminar un paquet d’aplicació no sempre elimina la seva extensió, i una extensió que queda enrere conserva els seus privilegis de xarxa.

La distinció prediu el símptoma. Instal·lat però sense connectar-se mai sol significar que l’extensió no està aprovada enlloc; connectat però amb paràmetres que es reverteixen al canvi següent sol significar que una política de gestió posseeix la definició.

La signatura i el publicador decideixen la resposta

Abans d’aprovar, llegiu qui ha signat la cosa en lloc del que suggereix la icona del diàleg. Dues comprovacions locals són suficients per veure l’autoritat de signatura i si l’avaluació del sistema passa en aquesta màquina.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Un paquet sense signatura o sense notarització no és automàticament maliciós, però mereix una decisió diferent que un de signat pel publicador que volíeu. Un paquet que ha arribat per un missatge en lloc del lloc web del publicador és el cas en què la resposta és simplement no.

Compareu l’identificador d’equip amb la identitat publicada del publicador en lloc de confiar en el nom de visualització de l’aplicació, perquè els noms són fàcils de reutilitzar i els identificadors no. Si el publicador publica l’identificador a la seva guia d’instal·lació, aquella pàgina és la referència per a la comparació i també el lloc on cal informar d’una discrepància. Un client d’un revenedor, una compilació reempaquetada o una còpia portàtil d’un fòrum mereix més sospita que la descàrrega signada del mateix publicador.

Quan una política posseeix la decisió

En un Mac corporatiu, l’administrador pot haver decidit ja. Un perfil de gestió pot lliurar la definició VPN, aprovar prèviament l’extensió i bloquejar la connexió de manera que no es pugui eliminar. En aquesta disposició, la petició d’introduir una contrasenya sovint és una petició de substituir una decisió que mai no va ser vostra.

Baixar la seguretat d’inici o desconnectar la gestió per forçar una instal·lació canvia el model d’amenaces de la màquina de manera permanent per resoldre un problema temporal. Aquesta permuta poques vegades es fa conscientment; normalment passa mentre se segueix una publicació d’un fòrum. Demaneu a l’administrador la via compatible en lloc d’això, que pot ser tan simple com tornar a enviar el perfil o aprovar l’extensió al costat del servidor. Si l’administrador no ho pot aprovar, aquesta resposta és la conclusió, no un obstacle per evitar.

Confirmeu l’estat després d’aprovar

Un cop donada una aprovació autoritzada, verifiqueu què pensa el sistema en lloc del que afirma el client. La llista d’extensions informa de l’estat d’activació sense necessitat de cap eina de tercers.

systemextensionsctl list

Una entrada mostrada com a activada pertany a l’identificador d’equip que vau comprovar abans; una entrada mostrada com a acabada esperant l’aprovació de l’usuari explica un client que arrenca i mai transporta trànsit. Si l’avís torna després de cada intent, captureu el missatge exacte i la versió del client, perquè una aprovació repetida sol significar que l’extensió se substitueix sense desactivar l’anterior, i això és un cas de suport, no un problema de contrasenya. Anoteu la versió abans de trucar al suport, perquè la solució pot existir ja en una compilació més nova i la conversa començarà allà.