Mac VPN On Demand: τι αποδεικνύει στην πραγματικότητα μια αντιστοίχιση SSID;
Μια αντιστοίχιση SSID είναι συνθήκη κανόνα, όχι απόδειξη εμπιστοσύνης. Χτίστε τον κανόνα On Demand, επιλέξτε την προεπιλογή για άγνωστα δίκτυα και κρατήστε τον αποκλεισμό ξεχωριστά.
Η σύνδεση VPN παντού εκτός από το Wi-Fi του γραφείου ακούγεται σαν πολιτική δύο γραμμών, και το δύσκολο μέρος δεν ήταν ποτέ η αναγνώριση ενός ονόματος δικτύου. Το δύσκολο μέρος είναι να αποφασίσετε τι επιτρέπεται να αποδείξει ένα όνομα που ταιριάζει. Οποιοδήποτε σημείο πρόσβασης μπορεί να εκπέμψει ένα γνώριμο SSID, και ένα επιτυχές ping σε μία διεύθυνση αποδεικνύει μόνο ότι ένα μεμονωμένο αίτημα πήρε απάντηση. Καμία από τις δύο παρατηρήσεις δεν αποδεικνύει ότι το Mac βρίσκεται σε πιστοποιημένο εσωτερικό δίκτυο.
Ένα όνομα δεν είναι ταυτότητα
Το SSID είναι μια ετικέτα που εκπέμπει ένα ραδιόφωνο. Δεν είναι κλειδί, πιστοποιητικό ή δήλωση για το ποιος κατέχει το υλικό, και ένας χώρος εκδηλώσεων ή ένα γειτονικό γραφείο μπορεί να εκπέμψει το ίδιο αλφαριθμητικό χωρίς κανέναν συντονισμό. Το να αντιμετωπίζετε την ετικέτα ως οδηγία να απενεργοποιήσετε την προστασία παραδίδει την απόφαση σε όποιον διαμόρφωσε το πλησιέστερο σημείο πρόσβασης.
Το τεστ ping αποτυγχάνει για έναν πιο λεπτό λόγο: απαντά σε ένα ερώτημα για την προσβασιμότητα, όχι για την ιδιότητα μέλους. Ένας στόχος που αποκρίνεται μπορεί να είναι προσβάσιμος από οπουδήποτε, μπορεί να είναι προσβάσιμος μόνο μέσω της σήραγγας για την οποία προσπαθείτε να αποφασίσετε, ή μπορεί να είναι μια πύλη captive portal που επιστρέφει κάτι που μοιάζει με απάντηση. Η προσβασιμότητα είναι ένα χρήσιμο γεγονός και ένα φτωχό όριο εμπιστοσύνης.
Πώς το On Demand αξιολογεί ένα σύνολο κανόνων
Το μοντέλο On Demand της Apple συνδυάζει μια ενέργεια με προαιρετικές συνθήκες δικτύου, και οι κανόνες αξιολογούνται με σειρά: ο πρώτος κανόνας του οποίου όλες οι συνθήκες ταιριάζουν παρέχει την ενέργεια, και οι υπόλοιποι δεν εξετάζονται. Αυτή η σειρά είναι η πολιτική, γι’ αυτό ένας κανόνας που προστίθεται «για καλό και για κακό» μπορεί να ξαναγράψει σιωπηλά συμπεριφορά που λειτουργούσε.
Η συνθήκη SSID αναφέρεται στο τρέχον κύριο συνδεδεμένο δίκτυο, όχι σε κάθε όνομα που φαίνεται σε μια σάρωση. Αυτό παράγει τρεις διακριτές καταστάσεις, και το να τις συμπτύξετε σε δύο είναι το συνηθισμένο σφάλμα διαμόρφωσης:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Διαμορφώστε το εκεί όπου ζει η πολιτική
Ένας εγκεκριμένος πελάτης VPN ή μια ροή εργασίας διαχείρισης είναι το μέρος όπου ανήκει αυτός ο κανόνας, και διαφορετικοί πάροχοι εκθέτουν διαφορετικά υποσύνολα των διαθέσιμων ελέγχων. Μια επιλογή που λείπει από αυτό το πάνελ σημαίνει επομένως ότι ο πελάτης δεν την εξέθεσε, όχι ότι η πλατφόρμα δεν μπορεί να την εκφράσει.
Η αυτόματη ενεργοποίηση χρειάζεται επίσης μια ρύθμιση ελέγχου ταυτότητας που μπορεί να ολοκληρωθεί χωρίς άνθρωπο, όπως ένα πιστοποιητικό ή μια άλλη υποστηριζόμενη μέθοδο. Ένας αποθηκευμένος κωδικός μίας χρήσης δεν είναι αυτή η ρύθμιση, και ένας κανόνας που ενεργοποιείται ενώ ο έλεγχος ταυτότητας δεν μπορεί να ολοκληρωθεί παράγει μια προσπάθεια σύνδεσης που αποτυγχάνει ήσυχα στο παρασκήνιο.
Δύο μοτίβα που αξίζει να γράψετε στο runbook
Το πρώτο είναι το όνομα-μιμητής. Ένας χώρος συνεδρίου, ένα ξενοδοχείο ή ένας ένοικος στο ίδιο κτίριο εκπέμπει το αλφαριθμητικό που ο κανόνας σας θεωρεί «εσωτερικό», και η προστασία απενεργοποιείται ακριβώς εκεί όπου θα θέλατε λιγότερο να συμβεί. Το όνομα δεν είπε ψέματα· ο κανόνας το ρώτησε κάτι που δεν μπορεί να απαντήσει.
Το δεύτερο είναι το τεστ που αυτοαναιρείται. Ένα σενάριο κάνει ping σε μια ιδιωτική διεύθυνση, βλέπει μια απόκριση μέσα από τη σήραγγα, συμπεραίνει ότι βρίσκεται ήδη στο εσωτερικό δίκτυο και αποσυνδέεται. Στη συνέχεια το τεστ αποτυγχάνει, οπότε το σενάριο επανασυνδέεται και επαναλαμβάνει, και η σήραγγα ταλαντώνεται ενώ κάθε επιμέρους βήμα φαίνεται σωστό. Ένα τεστ του οποίου το αποτέλεσμα εξαρτάται από τη σήραγγα δεν μπορεί ταυτόχρονα να αποφασίσει αν η σήραγγα πρέπει να υπάρχει.
Αποφασίστε την προεπιλογή και επιβάλετε την ξεχωριστά
Η περίπτωση του άγνωστου δικτύου και η περίπτωση του καλωδίου χρειάζονται ρητές απαντήσεις αντί για μια κληρονομημένη προεπιλογή. Αν η προστατευμένη κίνηση πρέπει να παραμείνει αποκλεισμένη όσο το σύστημα ταξινομεί ακόμη το δίκτυο ή ανεβάζει τη σήραγγα, αυτό απαιτεί δικό του υποστηριζόμενο έλεγχο επιβολής· ένα έναυσμα On Demand παρέχει συμπεριφορά σύνδεσης, όχι εγγύηση αποκλεισμού.
Γραμμένος σωστά, ο κανόνας του διαχειριστή δηλώνει την εγκεκριμένη εξαίρεση, τα στοιχεία που τη δικαιολογούν και τη σκόπιμη υποχώρηση όταν αυτά τα στοιχεία λείπουν. Η αναγνώριση ενός ονόματος Wi-Fi είναι νόμιμη είσοδος σε αυτή την απόφαση. Δεν είναι η δικαιολόγηση της απόφασης και δεν θα έπρεπε ποτέ να είναι η μόνη γραμμή του κανόνα.