Mac VPN a demanda: què demostra realment una coincidència d'SSID?
Una coincidència d'SSID és una condició d'una regla, no una prova de confiança. Construïu la regla a demanda, trieu el valor per defecte per a xarxes desconegudes i manteniu el bloqueig a part.
Connectar la VPN a tot arreu excepte al Wi-Fi de l'oficina sona com una política de dues línies, i la part difícil mai no ha estat reconèixer el nom d'una xarxa. La part difícil és decidir què pot demostrar un nom coincident. Qualsevol punt d'accés pot anunciar un SSID familiar, i un ping correcte a una adreça només demostra que una sonda ha rebut resposta. Cap de les dues observacions estableix que el Mac sigui en una xarxa interna autenticada.
Un nom no és una identitat
Un SSID és una etiqueta que emet una ràdio. No és una clau, un certificat ni una afirmació sobre qui posseeix el maquinari, i un recinte o una oficina veïna poden emetre la mateixa cadena sense cap coordinació. Tractar l'etiqueta com una ordre de desactivar la protecció lliura la decisió a qui hagi configurat el punt d'accés més proper.
La prova de ping falla per una raó més subtil: respon una pregunta sobre accessibilitat, no sobre pertinença. Un objectiu que respon pot ser accessible des de qualsevol lloc, pot ser accessible només a través del túnel sobre el qual intenteu decidir, o pot ser un portal captiu que retorna una cosa que sembla una resposta. L'accessibilitat és un fet útil i una frontera de confiança dolenta.
Com avalua On Demand un conjunt de regles
El model On Demand d'Apple combina una acció amb condicions de xarxa opcionals, i les regles s'avaluen en ordre: la primera regla les condicions de la qual coincideixen totes proporciona l'acció, i la resta no es consulten. Aquest ordre és la política, i per això una regla afegida per si de cas pot reescriure silenciosament un comportament que funcionava.
La condició SSID fa referència a la xarxa principal connectada actual, no a tots els noms visibles en un escaneig. Això produeix tres estats diferents, i col·lapsar-los en dos és l'error de configuració habitual:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Configureu-ho on viu la política
Un client VPN aprovat o un flux de treball de gestió és on pertany aquesta regla, i proveïdors diferents exposen subconjunts diferents dels controls disponibles. Per tant, una opció que falta en aquest panell significa que el client no l'ha exposat, no que la plataforma no la pugui expressar.
L'activació automàtica també necessita un mecanisme d'autenticació que es pugui completar sense cap persona, com ara un certificat o un altre mètode compatible. Un codi d'un sol ús emmagatzemat no és aquest mecanisme, i una regla que s'activa mentre l'autenticació no es pot completar produeix un intent de connexió que falla en silenci en segon pla.
Dos patrons que val la pena escriure al manual
El primer és el nom imitat. Un recinte de conferències, un hotel o un llogater del mateix edifici anuncia la cadena que la vostra regla tracta com a «dins», i la protecció es desactiva exactament on menys ho voldríeu. El nom no va mentir; la regla li va fer una pregunta que no pot respondre.
El segon és la sonda que es derrota a si mateixa. Un programa fa ping a una adreça privada, veu una resposta a través del túnel, conclou que ja és a la xarxa interna i es desconnecta. Llavors la sonda falla, així que el programa es reconnecta i repeteix, i el túnel oscil·la mentre cada pas individual sembla correcte. Qualsevol prova el resultat de la qual depengui del túnel no pot decidir també si el túnel ha d'existir.
Decidiu el valor per defecte i apliqueu-lo a part
El cas de xarxa desconeguda i el cas per cable necessiten respostes explícites en lloc d'un valor per defecte heretat. Si el trànsit protegit ha de romandre bloquejat mentre el sistema encara classifica la xarxa o aixeca el túnel, això requereix un control d'aplicació admès propi; un activador d'On Demand proporciona comportament de connexió, no una garantia de bloqueig.
Escrita correctament, la regla de l'administrador exposa l'excepció aprovada, l'evidència que la justifica i el replà deliberat quan aquesta evidència no hi és. Reconèixer un nom de Wi-Fi és una entrada legítima per a aquesta decisió. No és la justificació de la decisió, i no hauria de ser mai l'única línia de la regla.