Admin-Abfrage bei Mac VPN: Installation, Erweiterung oder Richtlinie?

Passwortabfragen eines VPN-Clients wirken austauschbar und sind es nicht. Hinter einem ähnlichen Dialog stecken vier verschiedene Aktionen: das Schreiben von Dateien an einen geschützten Ort während der Installation, das Hinzufügen oder Ändern einer Netzwerkkonfiguration, das Aktivieren einer Systemerweiterung, die Datenverkehr führt, und das Befolgen einer Richtlinie, die ein Verwaltungsserver bereits festgelegt hat. Jede hat einen anderen Verantwortlichen, eine andere Reichweite und eine andere Art zu prüfen, ob sie funktioniert hat. Die Meldung, die Sie sehen, einer dieser vier zuzuordnen, ist die ganze Übung.

Drei verschiedene Freigaben sehen gleich aus

Die Autorisierung des Installationsprogramms ist der einfachste Fall: Ein Paket schreibt in Verzeichnisse, die ein Standardbenutzer nicht ändern kann, und macOS verlangt Administrator-Anmeldedaten, um das zu erlauben. Das System entscheidet nicht, ob die Software sicher ist; es entscheidet, ob Sie dort schreiben dürfen. Deshalb kann sich ein Paket sauber installieren lassen und trotzdem nutzlos sein: Die Installationsfreigabe sagt nichts darüber, ob der Code danach ausgeführt werden darf. Nach der Installation braucht die App möglicherweise noch eine zweite Freigabe, bevor sie das Netzwerk beeinflussen kann.

Die Autorisierung der Netzwerkkonfiguration umfasst Änderungen an der Verbindungsliste des Systems. Das Hinzufügen eines VPN-Dienstes oder das Ändern von Einstellungen, die ein Netzwerkadministrator konfiguriert hat, erfordert erhöhte Rechte, weil diese Definitionen jedes Konto auf dem Rechner betreffen. Diese Freigabe erteilt Konfigurationsbefugnis, nicht Verkehrsbefugnis.

Die Erweiterungsfreigabe ist diejenige, die zählt, wenn es darum geht, wie Pakete reisen. Ein moderner Client installiert eine Systemerweiterung, die macOS in das System lädt, und macOS verlangt eine ausdrückliche Entscheidung unter Datenschutz & Sicherheit oder Anmeldeobjekte & Erweiterungen, bevor sie aktiviert wird. Ein vierter Fall ist ein verwalteter Mac, bei dem eine Richtlinie die Erweiterung bereits vorab genehmigt und der Benutzer gar keinen Dialog sieht.

Was jede Freigabe tatsächlich ändert

Ein Installationsprogramm ändert Dateien auf der Festplatte, und seine Folgen enden, wenn die Dateien entfernt werden, abgesehen von Resten. Eine Netzwerkkonfiguration fügt eine Dienstdefinition hinzu, die in der Verbindungsliste erscheint und durch Regeln bei Bedarf erneut aktiviert werden kann. Eine Erweiterungsfreigabe ändert, welchen Code das System lädt und weiterlaufen lässt, weshalb sie in manchen Abläufen die Deinstallation der sichtbaren Anwendung überlebt. Das Entfernen eines App-Bundles entfernt nicht immer seine Erweiterung, und eine zurückgelassene Erweiterung behält ihre Netzwerkprivilegien.

Der Unterschied sagt das Symptom voraus. Installiert, aber nie verbunden bedeutet meist, dass die Erweiterung nirgends freigegeben ist; verbunden, aber mit Einstellungen, die bei der nächsten Änderung zurückspringen, bedeutet meist, dass eine Verwaltungsrichtlinie die Definition besitzt.

Signatur und Herausgeber entscheiden die Antwort

Lesen Sie vor dem Freigeben, wer die Sache signiert hat, statt darauf zu achten, was das Symbol des Dialogs nahelegt. Zwei lokale Prüfungen genügen, um die Signaturbehörde zu sehen und festzustellen, ob die Bewertung des Systems auf diesem Rechner besteht.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Ein unsigniertes oder nicht notarisiertes Bundle ist nicht automatisch bösartig, verdient aber eine andere Entscheidung als ein signiertes des Herausgebers, den Sie im Sinn hatten. Ein Paket, das über eine Nachricht statt von der Website des Herausgebers kam, ist der Fall, in dem die Antwort schlicht nein lautet.

Vergleichen Sie die Team-ID mit der veröffentlichten Identität des Herausgebers, statt dem Anzeigenamen der App zu vertrauen, denn Namen lassen sich leicht wiederverwenden, IDs nicht. Wenn der Herausgeber die ID in seiner Installationsanleitung veröffentlicht, ist diese Seite die Referenz für den Vergleich und zugleich die Stelle, an der eine Abweichung gemeldet werden sollte. Ein Client von einem Wiederverkäufer, ein neu gepackter Build oder eine portable Kopie aus einem Forum verdient mehr Misstrauen als der signierte Download desselben Herausgebers.

Wenn eine Richtlinie die Entscheidung besitzt

Auf einem Firmen-Mac hat der Administrator möglicherweise bereits entschieden. Ein Verwaltungsprofil kann die VPN-Definition liefern, die Erweiterung vorab genehmigen und die Verbindung sperren, sodass sie nicht entfernt werden kann. In dieser Anordnung ist die Aufforderung, ein Passwort einzugeben, oft die Aufforderung, eine Entscheidung zu überschreiben, die nie Ihre war.

Die Startsicherheit zu senken oder die Verwaltung zu lösen, um eine Installation zu erzwingen, verändert das Bedrohungsmodell des Rechners dauerhaft, um ein vorübergehendes Problem zu lösen. Dieser Tausch wird selten bewusst gemacht; er geschieht meist beim Befolgen eines Forumsbeitrags. Bitten Sie den Administrator stattdessen um den unterstützten Weg, der so einfach sein kann wie das erneute Senden des Profils oder das Freigeben der Erweiterung auf der Serverseite. Wenn der Administrator sie nicht freigeben kann, ist diese Antwort der Befund und kein Hindernis, das man umgehen sollte.

Bestätigen Sie den Zustand nach der Freigabe

Sobald eine autorisierte Freigabe erteilt ist, prüfen Sie, was das System denkt, statt was der Client behauptet. Die Erweiterungsliste meldet den Aktivierungszustand, ohne dass ein Drittanbieterwerkzeug nötig ist.

systemextensionsctl list

Ein als aktiviert angeführter Eintrag gehört zur Team-ID, die Sie zuvor geprüft haben; ein als beendet angeführter Eintrag, der auf die Benutzerfreigabe wartet, erklärt einen Client, der startet und nie Datenverkehr führt. Wenn die Abfrage nach jedem Versuch wiederkommt, erfassen Sie die genaue Meldung und die Clientversion, denn eine wiederkehrende Freigabe bedeutet meist, dass die Erweiterung ersetzt wird, ohne dass die vorherige deaktiviert wurde, und das ist ein Supportfall und kein Passwortproblem. Notieren Sie die Version, bevor Sie den Support anrufen, da die Korrektur möglicherweise bereits in einem neueren Build existiert und das Gespräch dort beginnen wird.