En VPN-rute giver ikke fjernlogin på din Mac

At tilslutte sig en arbejds-VPN siger i sig selv intet om, hvorvidt nogen kan logge ind på din Mac fra et andet sted. Tre separate ting skal passe sammen: en netværksrute, der når maskinen, en adgangstjeneste, der kører, og tilladelse til, at en bestemt konto bruger den tjeneste. Tunnelen leverer kun den første. Alt andet på denne side handler om at undersøge de to andre uden at tage svaret for givet.

Begynd med den tjeneste eller installerede komponent, der ville give fjernadgang, og hold op med at slutte det ud fra en indikator for tilsluttet status i menulinjen.

Tre kontroller, som folk smelter sammen til én

Tilgængelighed svarer på, om pakker kan ankomme. En delingstjeneste svarer på, om noget lytter på maskinen. Autorisation svarer på, hvilke identiteter tjenesten accepterer, og hvad de må røre ved, når de først er inde. En VPN kan ændre det første svar uden at røre de to andre, og det er netop derfor spørgsmålet bliver ved med at give dårlige konklusioner i begge retninger.

Apples vejledning om Remote Login er et godt konkret eksempel på opdelingen, fordi den ligger på et bestemt sted og bærer sine egne kontovalg. Den ligger under System Settings, General, Sharing, og den beskriver SSH- og SFTP-adgang med et udvalg af tilladte brugere. Fuld diskadgang for fjernbrugere er igen en separat indstilling, hvilket understreger pointen: at slå en tjeneste til er ikke det samme som at give alle de muligheder, tjenesten kan tilbyde.

Tjek, hvad der faktisk er slået til

Gå gennem Sharing-panelet og notér hver tjeneste, der er slået til, ikke kun den, du forventede. Remote Login, Screen Sharing og File Sharing åbner hver en forskellig flade, og hver har sin egen brugerliste. En indstilling for SSH siger intet om skærmdeling, og tilstedeværelsen af en delingsfunktion i styresystemet siger intet om, hvorvidt nogen har brugt den.

Lav derefter en oversigt over, hvad der ellers kan give adgang: en tredjeparts fjernsupportagent, et administrationsværktøj installeret under tilmeldingen eller en skærmdelingsserver, der følger med noget andet. De vises ikke i Sharing-panelet, og de er netop de komponenter, folk glemmer, når de reviderer en laptop. Skriv hver agent ned, du ikke kan identificere, fordi en ukendt proces med en lyttende port er mere interessant end en kendt uden. En kort liste over ukendte slår en selvsikker konklusion bygget på det ene panel, du tilfældigvis åbnede.

Spørg administratoren, hvad tilmeldingen installerede

Hvis arbejdstilmeldingen omfattede en konfigurationsprofil, en godkendelse fra en administrator eller ekstra software, så bed den person, der driver det, svare på tre ting: hvilke komponenter der blev installeret, hvilke tilladelser de har, og hvad der forbliver aktivt, efter du afbryder. En VPN-rute og en privilegeret endpoint-agent har meget forskellige muligheder, og kun én af dem er normalt synlig for brugeren.

For en tilladt fjernsupportordning skal du få detaljerne skriftligt: hvilke brugere der er autoriseret, hvilke handlinger der er tiltænkt, om der vises en bekræftelsesprompt, og hvordan ordningen fjernes, når opgaven slutter. Giv ikke adgang for alle brugere eller brede diskrettigheder blot for at teste, om supporten kan forbinde, fordi den test permanent udvider grænsen.

Hvis du finder spor, du ikke forventede

En ukendt forbindelseslog eller en aktiveret kontakt er et spor, ikke bevis for en bestemt persons aktivitet. Gem de relevante ikke-hemmelige hændelser, noter tidspunkterne, og brug organisationens eller platformens hændelsesproces i stedet for at konfrontere nogen eller slette beviser i håbet om, at det løser sig selv.

På en administreret enhed skal du lade ejeren gennemgå foreslåede ændringer, før du deaktiverer en kontrol, som politikken kræver. På en personlig enhed, der er tilmeldt et arbejdsnetværk, skal du bede om en klar tilmeldingsgrænse og en understøttet udmeldelsesprocedure, inklusive hvad der fjernes, og hvad der bliver.

Det nyttige svar navngiver mekanismen og den myndighed, der står bag. Det lover aldrig enten ubegrænset arbejdsgiveradgang eller fuld sikkerhed på grund af et tunnelmærke, og det forveksler ikke en rute med et login.