Admin výzva Mac VPN: instalace, rozšíření, nebo zásada?

Výzvy k zadání hesla od VPN klienta vypadají zaměnitelně, ale nejsou. Za podobným dialogem se skrývají čtyři různé akce: zápis souborů do chráněného umístění během instalace, přidání nebo změna síťové konfigurace, aktivace systémového rozšíření, které přenáší provoz, a dodržení zásady, kterou už nastavil server pro správu. Každá má jiného vlastníka, jiný dosah a jiný způsob ověření, že fungovala. Přiřadit zprávu, kterou vidíte, k jedné z těchto čtyř — to je celé cvičení.

Tři různá schválení vypadají stejně

Autorizace instalátoru je nejjednodušší případ: balíček zapisuje do adresářů, které běžný uživatel nemůže měnit, a macOS si k tomu vyžádá přihlašovací údaje správce. Systém nerozhoduje, zda je software bezpečný; rozhoduje, zda tam smíte zapisovat. Proto se balíček může čistě nainstalovat a přesto být k ničemu: schválení instalace nic neříká o tom, zda bude kódu povoleno běžet. Po instalaci může aplikace stále potřebovat druhé schválení, než může ovlivnit síť.

Autorizace síťové konfigurace pokrývá změny v seznamu připojení systému. Přidání služby VPN nebo změna nastavení, které nakonfiguroval správce sítě, vyžaduje zvýšení oprávnění, protože tyto definice ovlivňují každý účet na počítači. Toto schválení dává pravomoc ke konfiguraci, ne k provozu.

Schválení rozšíření je to, na čem záleží pro to, jak pakety cestují. Moderní klient nainstaluje systémové rozšíření, které macOS načte do systému, a macOS před jeho aktivací vyžaduje výslovné rozhodnutí v Soukromí a zabezpečení nebo v Přihlašovacích položkách a rozšířeních. Čtvrtým případem je spravovaný Mac, kde zásada rozšíření schvaluje předem a uživatel nevidí žádný dialog.

Co každé schválení skutečně mění

Instalátor mění soubory na disku a jeho důsledky končí, když se soubory odstraní, kromě zbytků. Síťová konfigurace přidá definici služby, která se objeví v seznamu připojení a může být znovu aktivována pravidly na vyžádání. Schválení rozšíření mění, který kód systém načte a udrží běžet, a proto v některých postupech přežije odinstalování viditelné aplikace. Odebrání balíčku aplikace ne vždy odebere její rozšíření a zanechané rozšíření si zachovává síťová oprávnění.

Rozdíl předpovídá příznak. Nainstalováno, ale nikdy se nepřipojí, obvykle znamená, že rozšíření není nikde schváleno; připojuje se, ale nastavení se při další změně vrací, obvykle znamená, že definici vlastní zásada správy.

Podpis a vydavatel rozhodují o odpovědi

Před schválením si přečtěte, kdo věc podepsal, ne co naznačuje ikona dialogu. Dvě místní kontroly stačí k tomu, abyste viděli podepisující autoritu a zda systémové hodnocení na tomto počítači projde.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Nepodepsaný nebo nenaotářovaný balíček není automaticky škodlivý, ale zaslouží si jiné rozhodnutí než podepsaný balíček od vydavatele, kterého jste zamýšleli. Balíček, který dorazil zprávou místo z vlastního webu vydavatele, je případ, kdy je odpověď prostě ne.

Porovnejte identifikátor týmu se zveřejněnou identitou vydavatele, místo abyste věřili zobrazovanému názvu aplikace, protože názvy lze snadno znovu použít, identifikátory ne. Pokud vydavatel zveřejňuje identifikátor ve své instalační příručce, tato stránka je referencí pro porovnání a také místem, kde se má neshoda nahlásit. Klient od prodejce, přebalená sestavení nebo přenosná kopie z fóra si zaslouží více podezření než podepsané stažení od stejného vydavatele.

Když rozhodnutí vlastní zásada

Na firemním Macu už správce možná rozhodl. Profil správy může doručit definici VPN, předem schválit rozšíření a uzamknout připojení tak, aby nešlo odebrat. V takovém uspořádání je žádost o zadání hesla často žádostí o přepsání rozhodnutí, které nikdy nebylo vaše.

Snížení bezpečnosti spouštění nebo odpojení správy, abyste vynutili instalaci, trvale mění model hrozeb počítače, aby vyřešilo dočasný problém. Tato výměna se zřídka dělá vědomě; obvykle se stane při sledování příspěvku na fóru. Místo toho požádejte správce o podporovanou cestu, která může být stejně jednoduchá jako opětovné odeslání profilu nebo schválení rozšíření na straně serveru. Pokud to správce nemůže schválit, tato odpověď je zjištění, ne překážka, kterou je třeba obejít.

Potvrďte stav po schválení

Jakmile je dáno autorizované schválení, ověřte, co si myslí systém, ne co tvrdí klient. Seznam rozšíření hlásí stav aktivace bez potřeby nástroje třetí strany.

systemextensionsctl list

Záznam zobrazený jako aktivovaný patří identifikátoru týmu, který jste zkontrolovali dříve; záznam zobrazený jako ukončený a čekající na schválení uživatele vysvětluje klienta, který se spustí a nikdy nepřenáší provoz. Pokud se výzva vrací po každém pokusu, zachyťte přesnou zprávu a verzi klienta, protože opakované schválení obvykle znamená, že rozšíření je nahrazováno, aniž by bylo předchozí deaktivováno, a to je případ pro podporu, ne problém s heslem. Poznamenejte si verzi před voláním podpory, protože oprava už může existovat v novějším sestavení a rozhovor začne tam.