Mac VPN-administratorprompt: installation, udvidelse eller politik?

Adgangskodeprompter fra en VPN-klient ser ud til at være udskiftelige og er det ikke. Fire forskellige handlinger skjuler sig bag en lignende dialog: at skrive filer til en beskyttet placering under installationen, at tilføje eller ændre en netværkskonfiguration, at aktivere en systemudvidelse, der bærer trafik, og at efterleve en politik, som en administrationsserver allerede har sat. Hver har en anden ejer, en anden rækkevidde og en anden måde at bekræfte, at den virkede. At matche meddelelsen, du ser, med en af de fire er hele øvelsen.

Tre forskellige godkendelser ser ens ud

Installationsprogrammets autorisation er det enkleste tilfælde: en pakke skriver til mapper, en standardbruger ikke kan ændre, og macOS beder om administratoroplysninger for at tillade det. Systemet afgør ikke, om softwaren er sikker; det afgør, om du må skrive der. Derfor kan en pakke installere rent og alligevel være ubrugelig: installationsgodkendelsen siger intet om, hvorvidt koden får lov at køre bagefter. Når den er installeret, kan appen stadig have brug for en anden godkendelse, før den kan påvirke netværket.

Autorisation af netværkskonfiguration dækker ændringer i systemets forbindelsesliste. At tilføje en VPN-tjeneste eller ændre indstillinger, som en netværksadministrator har konfigureret, kræver forhøjede rettigheder, fordi disse definitioner påvirker hver konto på maskinen. Denne godkendelse giver konfigurationsmyndighed, ikke trafikmyndighed.

Godkendelse af udvidelser er den, der betyder noget for, hvordan pakker bevæger sig. En moderne klient installerer en systemudvidelse, som macOS indlæser i systemet, og macOS kræver en udtrykkelig beslutning i Anonymitet og sikkerhed eller Loginobjekter og udvidelser, før den aktiveres. Et fjerde tilfælde er en administreret Mac, hvor en politik allerede forhåndsgodkender udvidelsen, og brugeren slet ikke ser nogen dialog.

Hvad hver godkendelse faktisk ændrer

Et installationsprogram ændrer filer på disken, og konsekvenserne slutter, når filerne fjernes, bortset fra rester. En netværkskonfiguration tilføjer en tjenestedefinition, der vises i forbindelseslisten og kan genaktiveres af regler efter behov. En godkendelse af en udvidelse ændrer, hvilken kode systemet vil indlæse og holde kørende, og derfor overlever den i nogle arbejdsgange afinstallationen af den synlige applikation. At fjerne en app-bundle fjerner ikke altid dens udvidelse, og en udvidelse, der bliver tilbage, beholder sine netværksrettigheder.

Forskellen forudsiger symptomet. Installeret, men aldrig forbundet betyder normalt, at udvidelsen ikke er godkendt nogen steder; forbundet, men med indstillinger, der ruller tilbage ved næste ændring, betyder normalt, at en administrationspolitik ejer definitionen.

Signatur og udgiver afgør svaret

Før du godkender, så læs, hvem der har signeret tingesten, i stedet for hvad dialogens ikon antyder. To lokale kontroller er nok til at se signeringsmyndigheden og til at se, om systemets vurdering består på denne maskine.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

En usigneret eller unotariseret bundle er ikke automatisk ondsindet, men den fortjener en anden beslutning end en signeret fra den udgiver, du havde til hensigt. En pakke, der er ankommet via en besked i stedet for fra udgiverens eget websted, er det tilfælde, hvor svaret simpelthen er nej.

Sammenlign teamidentifikatoren med udgiverens offentliggjorte identitet i stedet for at stole på appens viste navn, da navne er lette at genbruge, og identifikatorer ikke er. Hvis udgiveren offentliggør identifikatoren i sin installationsvejledning, er den side reference for sammenligningen og også det sted, hvor en uoverensstemmelse bør rapporteres. En klient fra en forhandler, et genpakket build eller en bærbar kopi fra et forum fortjener mere mistanke end samme udgivers signerede download.

Når en politik ejer beslutningen

På en virksomheds-Mac har administratoren måske allerede besluttet. En administrationsprofil kan levere VPN-definitionen, forhåndsgodkende udvidelsen og låse forbindelsen, så den ikke kan fjernes. I den ordning er anmodningen om at indtaste en adgangskode ofte en anmodning om at tilsidesætte en beslutning, der aldrig var din.

At sænke opstartsikkerheden eller afkoble administrationen for at tvinge en installation igennem ændrer maskinens trusselsmodel permanent for at løse et midlertidigt problem. Den byttehandel foretages sjældent bevidst; den sker normalt, mens man følger et forumindlæg. Bed i stedet administratoren om den understøttede vej, som måske er så enkel som at gensende profilen eller godkende udvidelsen på serversiden. Hvis administratoren ikke kan godkende det, er det svar resultatet, ikke en forhindring, man skal gå uden om.

Bekræft tilstanden efter godkendelse

Når en autoriseret godkendelse er givet, skal du kontrollere, hvad systemet mener, i stedet for hvad klienten hævder. Udvidelseslisten rapporterer aktiveringstilstand uden behov for noget tredjepartsværktøj.

systemextensionsctl list

En post, der vises som aktiveret, tilhører den teamidentifikator, du kontrollerede tidligere; en post, der vises som afsluttet og venter på brugergodkendelse, forklarer en klient, der starter og aldrig bærer trafik. Hvis prompten vender tilbage efter hvert forsøg, skal du registrere den nøjagtige meddelelse og klientversionen, fordi en gentagen godkendelse normalt betyder, at udvidelsen erstattes, uden at den forrige deaktiveres, og det er en supportsag, ikke et adgangskodeproblem. Noter versionen, før du ringer til support, da rettelsen måske allerede findes i et nyere build, og samtalen vil starte der.