Mac VPN On Demand: Was beweist eine SSID-Übereinstimmung wirklich?
Eine SSID-Übereinstimmung ist eine Regelbedingung, kein Beweis für Vertrauen. Bauen Sie die On-Demand-Regel, wählen Sie den Standard für unbekannte Netzwerke und halten Sie die Sperre getrennt.
Überall außer im Büro-WLAN eine VPN-Verbindung aufzubauen klingt nach einer Regel aus zwei Zeilen, und der schwierige Teil war nie das Erkennen eines Netzwerknamens. Schwierig ist die Entscheidung, was ein passender Name beweisen darf. Jeder Zugangspunkt kann eine vertraute SSID ausstrahlen, und ein erfolgreicher Ping an eine Adresse beweist nur, dass eine einzelne Anfrage eine Antwort erhielt. Keine der beiden Beobachtungen belegt, dass der Mac in einem authentifizierten internen Netzwerk ist.
Ein Name ist keine Identität
Eine SSID ist ein Etikett, das ein Funkgerät ausstrahlt. Sie ist kein Schlüssel, kein Zertifikat und keine Aussage darüber, wem die Hardware gehört, und ein Veranstaltungsort oder ein benachbartes Büro kann dieselbe Zeichenfolge ohne jede Abstimmung verbreiten. Das Etikett als Anweisung zu behandeln, den Schutz abzuschalten, übergibt die Entscheidung an denjenigen, der den nächsten Zugangspunkt eingerichtet hat.
Der Ping-Test scheitert aus einem subtileren Grund: Er beantwortet eine Frage zur Erreichbarkeit, nicht zur Mitgliedschaft. Ein Ziel, das antwortet, kann von überall erreichbar sein, kann nur durch den Tunnel erreichbar sein, über den Sie gerade entscheiden wollen, oder kann ein Captive Portal sein, das etwas zurückgibt, das wie eine Antwort aussieht. Erreichbarkeit ist eine nützliche Tatsache und eine schlechte Vertrauensgrenze.
Wie On Demand eine Regelmenge auswertet
Apples On-Demand-Modell kombiniert eine Aktion mit optionalen Netzwerkbedingungen, und die Regeln werden der Reihe nach ausgewertet: Die erste Regel, deren Bedingungen alle passen, liefert die Aktion, und die übrigen werden nicht berücksichtigt. Diese Reihenfolge ist die Richtlinie, weshalb eine «nur für den Fall» angehängte Regel unbemerkt Verhalten umschreiben kann, das funktionierte.
Die SSID-Bedingung bezieht sich auf das aktuell primär verbundene Netzwerk, nicht auf jeden in einem Scan sichtbaren Namen. Das ergibt drei verschiedene Zustände, und sie zu zwei zusammenzufassen ist der übliche Konfigurationsfehler:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Konfigurieren, wo die Richtlinie liegt
Ein genehmigter VPN-Client oder ein Verwaltungs-Workflow ist der Ort, an den diese Regel gehört, und verschiedene Anbieter legen unterschiedliche Teilmengen der verfügbaren Steuerelemente offen. Eine fehlende Option in diesem Panel bedeutet daher, dass der Client sie nicht angeboten hat, nicht dass die Plattform sie nicht ausdrücken kann.
Die automatische Aktivierung braucht außerdem eine Authentifizierungsregelung, die ohne einen Menschen auskommt, etwa ein Zertifikat oder eine andere unterstützte Methode. Ein gespeicherter Einmalcode ist diese Regelung nicht, und eine Regel, die auslöst, während die Authentifizierung nicht abgeschlossen werden kann, erzeugt einen Verbindungsversuch, der im Hintergrund still scheitert.
Zwei Muster, die ins Runbook gehören
Das erste ist der nachgeahmte Name. Ein Tagungsort, ein Hotel oder ein Mieter im selben Gebäude strahlt die Zeichenfolge aus, die Ihre Regel als «innen» behandelt, und der Schutz schaltet sich genau dort ab, wo Sie ihn am wenigsten verlieren wollen. Der Name hat nicht gelogen; die Regel hat ihm eine Frage gestellt, die er nicht beantworten kann.
Das zweite ist die sich selbst besiegende Prüfung. Ein Skript pingt eine private Adresse, sieht eine Antwort durch den Tunnel, schließt daraus, dass es bereits im internen Netz ist, und trennt die Verbindung. Danach scheitert die Prüfung, also verbindet das Skript erneut und wiederholt alles, und der Tunnel schwingt, während jeder einzelne Schritt korrekt aussieht. Ein Test, dessen Ergebnis vom Tunnel abhängt, kann nicht zugleich entscheiden, ob es den Tunnel geben soll.
Den Standard festlegen und getrennt durchsetzen
Der Fall des unbekannten Netzwerks und der Fall der Kabelverbindung brauchen ausdrückliche Antworten statt eines geerbten Standards. Wenn geschützter Datenverkehr blockiert bleiben muss, während das System das Netzwerk noch klassifiziert oder den Tunnel aufbaut, braucht das eine eigene unterstützte Durchsetzungskontrolle; ein On-Demand-Auslöser liefert Verbindungsverhalten, keine Sperrgarantie.
Richtig geschrieben nennt die Administratorregel die genehmigte Ausnahme, die sie rechtfertigenden Belege und den bewussten Rückfall, wenn diese Belege fehlen. Einen WLAN-Namen zu erkennen ist ein legitimer Eingang in diese Entscheidung. Er ist nicht die Rechtfertigung der Entscheidung und sollte nie die einzige Zeile in der Regel sein.