Trasa VPN vám nepovolí vzdálené přihlášení k Macu

Připojení k pracovní VPN samo o sobě nic neříká o tom, zda se někdo může přihlásit k vašemu Macu odjinud. Musí se potkat tři samostatné věci: síťová cesta, která se k počítači dostane, běžící přístupová služba a oprávnění pro konkrétní účet tuto službu používat. Tunel zajišťuje jen první z nich. Všechno ostatní na této stránce je o prověření zbývajících dvou, aniž bychom odpověď předpokládali.

Začněte u služby nebo nainstalované komponenty, která by vzdálený přístup poskytovala, a přestaňte to usuzovat z indikátoru připojeného stavu v panelu nabídek.

Tři kontroly, které lidé slévají v jednu

Dosažitelnost odpovídá na to, zda pakety mohou dorazit. Služba sdílení odpovídá na to, zda na počítači něco naslouchá. Autorizace odpovídá na to, které identity služba přijímá a čeho se smějí dotknout, jakmile jsou uvnitř. VPN může změnit první odpověď, aniž by se dotkla zbývajících dvou, a právě proto tato otázka neustále produkuje špatné závěry v obou směrech.

Pokyny Applu k Remote Login jsou dobrým konkrétním příkladem tohoto rozdělení, protože sídlí na určitém místě a nesou vlastní volby účtů. Najdete je v System Settings, General, Sharing a popisují přístup přes SSH a SFTP s výběrem povolených uživatelů. Plný přístup k disku pro vzdálené uživatele je zase samostatná volba, což ten bod podtrhuje: zapnout službu není totéž jako udělit všechny možnosti, které služba může nabídnout.

Zkontrolujte, co je skutečně zapnuté

Projděte panel Sharing a poznamenejte si každou zapnutou službu, ne jen tu, kterou jste čekali. Remote Login, Screen Sharing a File Sharing otevírají každá jinou plochu a každá má svůj seznam uživatelů. Nastavení pro SSH nic neříká o sdílení obrazovky a přítomnost funkce sdílení v operačním systému nic neříká o tom, zda ji někdo použil.

Pak si sepište, co dalšího by mohlo přístup poskytovat: agent vzdálené podpory třetí strany, nástroj pro správu nainstalovaný při zařazení do evidence nebo server pro sdílení obrazovky zabudovaný do něčeho jiného. Ty se v panelu Sharing neobjevují a jsou to právě komponenty, na které se při auditu notebooku zapomíná. Zapište každého agenta, kterého nedokážete identifikovat, protože neznámý proces s naslouchajícím portem je zajímavější než známý bez něj. Krátký seznam neznámých je lepší než sebevědomý závěr postavený na jediném panelu, který jste náhodou otevřeli.

Zeptejte se správce, co zařazení nainstalovalo

Pokud zařazení do práce zahrnovalo konfigurační profil, schválení správcem nebo další software, požádejte člověka, který to spravuje, aby odpověděl na tři věci: které komponenty byly nainstalovány, jaká oprávnění mají a co zůstává aktivní poté, co se odpojíte. Trasa VPN a privilegovaný agent koncového bodu mají velmi odlišné možnosti a obvykle je uživateli vidět jen jeden z nich.

U povoleného uspořádání vzdálené podpory si vyžádejte podrobnosti písemně: kteří uživatelé jsou oprávněni, jaké operace jsou zamýšleny, zda se objevuje potvrzovací výzva a jak se uspořádání odstraní, když zakázka skončí. Nepřidělujte přístup všem uživatelům ani široká oprávnění k disku jen proto, abyste vyzkoušeli, zda se podpora může připojit, protože takový test trvale rozšiřuje hranici.

Pokud najdete důkaz, který jste nečekali

Neznámý záznam připojení nebo zapnutý přepínač je stopa, ne důkaz aktivity konkrétního člověka. Uchovejte příslušné nesekretní události, poznamenejte časy a použijte incidentní proces organizace nebo platformy, místo abyste na někoho naléhali nebo mazali důkazy v naději, že se to vyřeší samo.

Na spravovaném zařízení nechte jeho vlastníka projít navržené změny, než deaktivujete kontrolu, kterou vyžaduje politika. Na osobním zařízení připojeném k pracovní síti požádejte o jasnou hranici zařazení a podporovaný postup odchodu, včetně toho, co se odstraní a co zůstane.

Užitečná odpověď pojmenuje mechanismus a autoritu, která za ním stojí. Nikdy neslibuje ani neomezený přístup zaměstnavatele, ani úplnou bezpečnost díky označení tunelu, a neplete si trasu s přihlášením.