VPN cyn mewngofnodi ar macOS: datgloi, ffenestr fewngofnodi, sesiwn
Mae datgloi FileVault, y ffenestr fewngofnodi a sesiwn defnyddiwr yn gamau ar wahân. Mae cleient penbwrdd sy'n cychwyn wrth fewngofnodi yn datrys y olaf ohonynt yn unig.
Dyma gred sy'n costio wythnos i bobl: bod gan Mac un eiliad o'r enw cyn mewngofnodi, a bod cleient VPN naill ai'n cychwyn yno neu ddim. Mewn gwirionedd mae gan y peiriant o leiaf tair eiliad lle mae mynediad i'r rhwydwaith yn bwysig, wedi'u gwahanu gan pwy sy'n cael dal tystlythyrau ar y pwynt hwnnw. Mae cleient a lansiwyd o eitem fewngofnodi yn cwmpasu un ohonynt yn union, a'r olaf yw hi.
Y chwedl bod un gosodiad yn cwmpasu'r cychwyn cyfan
Darllenwch y dudalen gynnyrch eto a chwiliwch pa gam y mae'r nodwedd yn ei enwi. Mae blwch ticio o'r enw cychwyn wrth fewngofnodi yn golygu eitem fewngofnodi, sy'n rhedeg ar ôl i sesiwn defnyddiwr fodoli. Mae blwch ticio o'r enw cysylltu ar alw yn golygu bod y cleient yn agor cysylltiad pan fydd traffig yn cyfateb i reol, sy'n dal i olygu bod yn rhaid i'r cleient a'i dystlythyrau fod ar gael.
Nid yw'r un o'r rheini'n cyrraedd y broses gychwyn. Nid yw hynny'n gyfyngiad y mae'r gwerthwr wedi anghofio ei ddileu; dyna'r hyn y mae'r system weithredu'n ei ganiatáu. Cyn i'r gyfrol gael ei datgloi nid oes system yn rhedeg i lansio cleient ohoni, ac ar ôl allgofnodi mae cyfrinachau'r defnyddiwr yn gadael gyda'r sesiwn. Dau wal ar wahân, ac nid yw'r naill na'r llall yn ildio i flwch ticio gwahanol.
Unwaith y byddwch yn gwahanu'r camau, mae'r cwestiwn gwreiddiol yn newid siâp. Yn lle gofyn a yw'r VPN yn cychwyn cyn mewngofnodi, gofynnwch pa un o dair eiliad penodol sy'n gorfod gweithio, ac yna darganfyddwch fod gan bob un berchennog gwahanol: y stac amgryptio, yr estyniad rhwydwaith, neu'r sesiwn defnyddiwr.
Beth sy'n digwydd mewn gwirionedd ym mhob cam
Mae'r cychwyn yn dechrau â chyfrol amgryptiedig y mae'n rhaid ei datgloi cyn bod system ddefnyddiadwy i redeg unrhyw beth cyffredinol. Mae'r datgloi hwnnw'n digwydd mewn cyd-destun cyfyngedig gyda set gyfyngedig o dystlythyrau, ac mae Apple yn dogfennu'n glir bod data amgryptiedig yn parhau'n anhygyrch heb ddatgloi dilys.
Nesaf daw'r ffenestr fewngofnodi, lle mae'r system yn rhedeg ond nid oes sesiwn defnyddiwr yn bodoli eto. Mae estyniad mewn cyd-destun defnyddiwr eisoes wedi gorffen os yw'r defnyddiwr wedi allgofnodi, a gall estyniad system fyd-eang fod yn rhedeg o hyd, ond nid yw rhedeg yr un peth â dal y tystlythyrau y mae eich VPN eu hangen.
Yna daw'r sesiwn, lle gall cleient arferol ddarllen y cylch allweddi mewngofnodi, gofyn am ail ffactor a chymhwyso llwybrau a wthiwyd. Mae'r rhan fwyaf o nodweddion y mae pobl yn eu disgrifio fel cyn mewngofnodi mewn gwirionedd yn y cam hwn, wedi'i sbarduno'n gynnar yn y sesiwn yn hytrach nag o'i flaen.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
Pam na all launch daemon fewngofnodi dros ddefnyddiwr absennol
Mae braint uwch yn teimlo fel pe dylai ddatrys y broblem, ac nid yw'n gwneud hynny. Mae launch daemon yn rhedeg fel proses system heb sesiwn defnyddiwr y tu ôl iddi, felly nid oes cylch allweddi i'w ddatgloi a neb i ateb cais. Gall agor soced a darllen ffeil; yr hyn na all ei wneud yw dod yn ddefnyddiwr sy'n berchen ar y tystlythyrau. Nid yw braint yn hunaniaeth, a dyma'r union bwynt lle mae'r ddau'n cael eu drysu.
Yr hyn y mae pobl yn ei adeiladu yn y bwlch hwnnw yw sgript ag allweddair ynddi, sy'n broblem waeth na'r un y gwnaethon nhw ddechrau â hi.
Mae fersiwn onest y gofyniad yn gulach. Os oes rhaid i'r peiriant gyrraedd adnodd gwarchodedig tra nad oes neb yn bresennol, yna rhaid i'r hunaniaeth y mae'r adnodd hwnnw'n ei derbyn fod yn un y gall y peiriant ei dal heb berson: tystysgrif dyfais, tystlythyr yng nghylch allweddi'r system, neu gyfrif nad yw ei ail ffactor yn wthiad i ffôn ym mhoced rhywun. Dyluniwch yr hunaniaeth honno'n fwriadol, ac mae'r cwestiwn cam fel arfer yn ateb ei hun.
Nid yw nodwedd cyn mewngofnodi Windows yn trosglwyddo
Mae gan Windows fecanwaith mynediad cyn mewngofnodi dogfennedig ar gyfer rhai cynhyrchion mynediad o bell, ac mae'r enw'n teithio'n well na'r gallu. Nid yw nodwedd a ddisgrifir mewn canllaw gosod Windows yn dweud unrhyw beth wrthych am a yw'r un gwerthwr yn gweithredu cyfateb ar macOS.
Gofynnwch am ddatganiad sy'n cwmpasu caledwedd y Mac, fersiwn macOS, fersiwn y cleient a'r dull dilysu rydych chi'n ei ddefnyddio mewn gwirionedd. Nid yw honiad cyffredinol o gefnogaeth yn ddigon, oherwydd yn aml mae'r gwahaniaeth rhwng gweithio a pheidio â gweithio yn gorwedd yn un o'r pedwar hynny.
Os na all y gwerthwr ateb, dyna'r ateb. Cynlluniwch ar gyfer cam y sesiwn a dyluniwch ddewis arall ar gyfer yr achos heb oruchwyliaeth, yn hytrach na darganfod y bwlch yn ystod rholio allan.
Beth i ofyn amdano yn lle hynny
Ysgrifennwch y gofyniad yn iaith y camau. Pa adnodd, ei angen gan bwy, ym mha gyd-destun, a gyda pha oedi derbyniol pan nad yw'r cysylltiad yno eto?
Os mai ateb yw defnyddiwr sy'n mewngofnodi ac yna'n anghen y tiwnel, mae cysylltu ar alw ac eitem gychwyn yn ddigon ac yn rhad. Os mai ateb yw peiriant sy'n ailgychwyn dros nos ac sy'n gorfod adrodd, mae angen llwybr datgloi disg a gefnogir, hunaniaeth dyfais a phroses adfer sy'n gweithio pan na fydd y rhwydwaith yn codi byth. Os mai ateb yw mewngofnodi sefydliad sy'n dibynnu ar y tiwnel, yna rhaid adeiladu dyluniadau mewngofnodi, hunaniaeth a VPN gyda'i gilydd yn hytrach na'u prynu ar wahân.
Dogfennaeth Apple ar FileVault yw'r man cychwyn cywir ar gyfer cam y datgloi. Mae popeth ar ei hôl yn gwestiwn cleient a hunaniaeth y dylai datganiad gan y gwerthwr ei setlo cyn i chi brynu.