Anogwr gweinyddwr Mac VPN: gosod, estyniad neu bolisi?

Mae anogwyr cyfrinair o gleient VPN yn edrych yn gyfnewidiol ac nid ydynt. Mae pedair gweithred wahanol yn cuddio y tu ôl i ddeialog debyg: ysgrifennu ffeiliau i leoliad gwarchodedig yn ystod gosod, ychwanegu neu newid cyfluniad rhwydwaith, actifadu estyniad system sy’n cario traffig, a chydymffurfio â pholisi y mae gweinydd rheoli eisoes wedi’i osod. Mae gan bob un berchnogion gwahanol, rywys arall a ffordd wahanol o wirio ei fod wedi gweithio. Cyfateb y neges a welwch i un o’r pedwar hyn yw’r ymarferiad cyfan.

Mae tri chymeradwyaeth wahanol yn edrych yr un fath

Awdurdodiad gosodwr yw’r achos symlaf: mae pecyn yn ysgrifennu i gyfeiriadau na all defnyddiwr safonol eu newid, ac mae macOS yn gofyn am gymwysterau gweinyddwr i ganiatáu hynny. Nid yw’r system yn penderfynu a yw’r meddalwedd yn ddiogel; mae’n penderfynu a allwch chi ysgrifennu yno. Dyna pam y gall pecyn osod yn lân ac eto bod yn ddiwerth: nid yw cymeradwyaeth gosod yn dweud dim am a ganiateir i’r cod redeg wedi hynny. Ar ôl ei osod, efallai y bydd yr ap yn dal i fod angen ail gymeradwyaeth cyn y gall ddylanwadu ar y rhwydwaith.

Mae awdurdodiad cyfluniad rhwydwaith yn cynnwys newidiadau i restr cysylltiadau’r system. Mae ychwanegu gwasanaeth VPN, neu newid gosodiadau a gyfluniodd gweinyddwr rhwydwaith, yn gofyn am godi braint oherwydd bod y diffiniadau hynny’n effeithio ar bob cyfrif ar y peiriant. Mae’r gymeradwyaeth hon yn rhoi awdurdod cyfluniad, nid awdurdod traffig.

Cymeradwyaeth estyniad yw’r un sy’n bwysig ar gyfer sut mae pecynnau’n teithio. Mae cleient moderne yn gosod estyniad system y mae macOS yn ei lwytho i’r system, ac mae macOS yn gofyn am benderfyniad pendant yn Preifatrwydd a Diogelwch neu Eitemau Mewngofnodi ac Estyniadau cyn ei actifadu. Pedwerydd achos yw Mac a reolir, lle mae polisi eisoes yn rhag-gymeradwyo’r estyniad ac nad yw’r defnyddiwr yn gweld unrhyw ddeialog o gwbl.

Beth mae pob cymeradwyaeth yn ei newid mewn gwirionedd

Mae gosodwr yn newid ffeiliau ar y disg, ac mae ei ganlyniadau’n dod i ben pan fydd y ffeiliau’n cael eu tynnu, ar wahân i weddillion. Mae cyfluniad rhwydwaith yn ychwanegu diffiniad gwasanaeth sy’n ymddangos yn y rhestr cysylltiadau ac y gellir ei ail-actifadu gan reolau ar alw. Mae cymeradwyaeth estyniad yn newid pa god y bydd y system yn ei lwytho a’i gadw’n rhedeg, a dyna pam mae’n goroesi dadosod yr ap gweladwy mewn rhai llifau gwaith. Nid yw tynnu bwndel ap bob amser yn tynnu ei estyniad, ac mae estyniad a adawyd ar ôl yn cadw ei fraintiau rhwydwaith.

Mae’r gwahaniaeth yn rhagweld y symptom. Wedi’i osod ond byth yn cysylltu fel arfer yn golygu nad yw’r estyniad wedi’i gymeradwyo yn unman; yn cysylltu ond gyda gosodiadau sy’n dychwelyd ar y newid nesaf fel arfer yn golygu bod polisi rheoli’n berchen ar y diffiniad.

Llofnod a chyhoeddwr sy’n penderfynu’r ateb

Cyn cymeradwyo, darllenwch pwy lofnododd y peth yn hytrach na’r hyn y mae eicon y deialog yn ei awgrymu. Mae dau wiriad lleol yn ddigon i weld yr awdurdod llofnodi ac a yw asesiad y system yn pasio ar y peiriant hwn.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Nid yw bwndel heb lofnod neu heb notareiddio’n awtomatig yn faleisus, ond mae’n haeddu penderfyniad gwahanol na bwndel wedi’i lofnodi gan y cyhoeddwr a fwriadwyd gennych. Pecyn a ddaeth drwy neges yn hytrach na o safle’r cyhoeddwr ei hun yw’r achos lle mae’r ateb yn syml yw na.

Cymharwch yr adnabyddwr tîm â hunaniaeth gyhoeddedig y cyhoeddwr yn hytrach na dibynnu ar enw arddangos yr ap, oherwydd mae enwau’n hawdd eu hailddefnyddio ac nid yw adnabyddwyr. Os yw’r cyhoeddwr yn cyhoeddi’r adnabyddwr yn ei ganllaw gosod, y dudalen honno yw’r cyfeirnod ar gyfer y gymhariaeth a hefyd y lle y dylid adrodd anghysondeb. Mae cleient gan ailwerthwr, adeiladwaith wedi’i ail-becynnu neu gopi cludadwy o fforwm yn haeddu mwy o amheuaeth na lawrlwythiad llofnodedig yr un cyhoeddwr.

Pan fo polisi’n berchen ar y penderfyniad

Ar Mac corfforaethol efallai bod y gweinyddwr eisoes wedi penderfynu. Gall proffil rheoli ddarparu’r diffiniad VPN, rhag-gymeradwyo’r estyniad a chloi’r cysylltiad fel na ellir ei dynnu. Yn y drefn honno, mae’r cais i roi cyfrinair yn aml yn gais i ddiystyru penderfyniad nad oedd erioed yn eiddo i chi.

Mae gostwng diogelwch cychwyn neu ddatgysylltu rheolaeth i orfodi gosodiad yn newid model bygythiad y peiriant yn barhaol i ddatrys problem dros dro. Anaml y gwneir y cyfnewid hwnnw’n ymwybodol; mae fel arfer yn digwydd wrth ddilyn post fforwm. Gofynnwch i’r gweinyddwr am y llwybr a gefnogir yn lle hynny, a all fod mor syml ag ail-anfon y proffil neu gymeradwyo’r estyniad ar ochr y gweinydd. Os na all y gweinyddwr ei gymeradwyo, yr ateb hwnnw yw’r canfyddiad, nid rhwystr i’w osgoi.

Cadarnhewch y cyflwr ar ôl cymeradwyo

Unwaith y rhoddir cymeradwyaeth awdurdodedig, gwiriwch yr hyn y mae’r system yn ei feddwl yn hytrach na’r hyn y mae’r cleient yn ei honni. Mae’r rhestr estyniadau’n adrodd cyflwr actifadu heb fod angen unrhyw offeryn trydydd parti.

systemextensionsctl list

Mae cofnod a ddangosir fel un wedi’i actifadu’n perthyn i’r adnabyddwr tîm a wiriwyd gennych yn gynharach; mae cofnod a ddangosir fel un a derfynwyd yn aros am gymeradwyaeth defnyddiwr yn esbonio cleient sy’n cychwyn ac nad yw byth yn cario traffig. Os yw’r anogwr yn dychwelyd ar ôl pob ymgais, cofnodwch y neges union a fersiwn y cleient, oherwydd mae cymeradwyaeth ailadroddus fel arfer yn golygu bod yr estyniad yn cael ei ddisodli heb ddadactifadu’r un blaenorol, ac mae hynny’n achos cymorth yn hytrach na phroblem cyfrinair. Nodwch y fersiwn cyn ffonio cymorth, oherwydd efallai bod y gwelliant eisoes yn bodoli mewn adeiladwaith mwy newydd a bydd y sgwrs yn dechrau yno.