Mac VPN na vyžádání: co vlastně shoda SSID dokazuje?
Shoda SSID je podmínka pravidla, ne důkaz důvěry. Sestavte pravidlo na vyžádání, zvolte výchozí chování pro neznámou síť a blokování řešte odděleně.
Připojovat VPN všude kromě kancelářské Wi-Fi zní jako zásada o dvou řádcích a tou těžkou částí nikdy nebylo rozpoznat název sítě. Tou těžkou částí je rozhodnout, co smí odpovídající název prokázat. Jakýkoli přístupový bod může vysílat známé SSID a úspěšný ping na jednu adresu dokazuje jen to, že jedna sonda dostala odpověď. Ani jedno z těchto pozorování neprokazuje, že Mac je v ověřené interní síti.
Název není identita
SSID je štítek, který vysílá rádio. Není to klíč, certifikát ani tvrzení o tom, komu patří hardware, a prostor nebo sousední kancelář mohou vysílat stejný řetězec bez jakékoli koordinace. Považovat štítek za pokyn vypnout ochranu znamená předat rozhodnutí tomu, kdo nastavil nejbližší přístupový bod.
Ping test selhává z jemnějšího důvodu: odpovídá na otázku o dosažitelnosti, ne o členství. Cíl, který odpovídá, může být dosažitelný odjinud, může být dosažitelný jen tunelem, o kterém se snažíte rozhodnout, nebo to může být captive portál vracející něco, co vypadá jako odpověď. Dosažitelnost je užitečný fakt a špatná hranice důvěry.
Jak On Demand vyhodnocuje sadu pravidel
Model On Demand od Applu spojuje akci s volitelnými síťovými podmínkami a pravidla se vyhodnocují v pořadí: první pravidlo, jehož všechny podmínky odpovídají, dodá akci, a ostatní se nezkoumají. Toto pořadí je politikou, a proto pravidlo přidané pro jistotu může tiše přepsat chování, které fungovalo.
Podmínka SSID se vztahuje k aktuální primární připojené síti, ne ke každému názvu viditelnému při skenování. To dává tři odlišné stavy a jejich sloučení na dva je obvyklá chyba konfigurace:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Nastavte to tam, kde žije politika
Schválený klient VPN nebo řídicí pracovní postup je místo, kam toto pravidlo patří, a různí poskytovatelé zpřístupňují různé podmnožiny dostupných ovládacích prvků. Chybějící volba v tomto panelu tedy znamená, že ji klient nezpřístupnil, ne že ji platforma nedokáže vyjádřit.
Automatická aktivace také potřebuje autentizační uspořádání, které se dokáže dokončit bez člověka, například certifikát nebo jinou podporovanou metodu. Uložený jednorázový kód takovým uspořádáním není a pravidlo, které se spustí, zatímco autentizace nemůže skončit, vytváří pokus o připojení, jenž tiše selhává na pozadí.
Dva vzory, které stojí za zápis do příručky
Prvním je napodobený název. Konferenční prostor, hotel nebo nájemce ve stejné budově vysílá řetězec, který vaše pravidlo považuje za „uvnitř“, a ochrana se vypne právě tam, kde byste to chtěli nejméně. Název nelhal; pravidlo mu položilo otázku, na kterou neumí odpovědět.
Druhým je sebezničující sonda. Skript pingne soukromou adresu, uvidí odpověď tunelem, usoudí, že už je v interní síti, a odpojí se. Sonda pak selže, takže se skript znovu připojí a opakuje to, a tunel osciluje, zatímco každý jednotlivý krok vypadá správně. Žádný test, jehož výsledek závisí na tunelu, nemůže zároveň rozhodovat, zda tunel má existovat.
Určete výchozí hodnotu a pak vynucujte zvlášť
Případ neznámé sítě a kabelový případ potřebují výslovné odpovědi místo zděděné výchozí hodnoty. Pokud chráněný provoz musí zůstat blokován, dokud systém ještě klasifikuje síť nebo zvedá tunel, vyžaduje to vlastní podporovaný nástroj vynucení; spouštěč On Demand poskytuje chování připojení, ne záruku blokování.
Správně napsané pravidlo správce uvádí schválenou výjimku, důkaz, který ji ospravedlňuje, a záměrný záložní postup, když tento důkaz chybí. Rozpoznání názvu Wi-Fi je legitimní vstup pro toto rozhodnutí. Není to ospravedlnění rozhodnutí a nikdy by nemělo být jediným řádkem pravidla.