Administra prompto de Mac VPN: instalado, etendaĵo aŭ politiko?

Pasvortaj promptoj de VPN-kliento ŝajnas interŝanĝeblaj kaj ne estas. Malantaŭ simila dialogo kaŝiĝas kvar malsamaj agoj: skribi dosierojn en protektitan lokon dum instalado, aldoni aŭ ŝanĝi retan agordon, aktivigi sistemetan etendaĵon, kiu portas trafikon, kaj obei politikon, kiun administra servilo jam starigis. Ĉiu havas alian posedanton, alian efikradiuson kaj alian manieron kontroli, ke ĝi funkciis. Kongruigi la mesaĝon, kiun vi vidas, kun unu el tiuj kvar estas la tuta ekzerco.

Tri malsamaj aproboj aspektas same

La rajtigo de instalilo estas la plej simpla kazo: pako skribas en dosierujojn, kiujn norma uzanto ne povas modifi, kaj macOS petas administrantajn akreditaĵojn por permesi ĝin. La sistemo ne decidas, ĉu la programaro estas sekura; ĝi decidas, ĉu vi rajtas skribi tie. Tial pako povas instaliĝi pure kaj tamen esti senutila: la instala aprobo diras nenion pri tio, ĉu la kodo rajtos ruliĝi poste. Post instalado, la aplikaĵo eble ankoraŭ bezonas duan aprobon antaŭ ol influi la reton.

La rajtigo de reta agordo ampleksas ŝanĝojn en la konekta listo de la sistemo. Aldoni VPN-servon aŭ ŝanĝi agordojn, kiujn retadministranto agordis, postulas altigon de privilegioj, ĉar tiuj difinoj efikas al ĉiu konto sur la maŝino. Ĉi tiu aprobo donas aŭtoritaton pri agordo, ne pri trafiko.

La aprobo de etendaĵo estas tiu, kiu gravas por tio, kiel pakoj vojaĝas. Moderna kliento instalas sistemetan etendaĵon, kiun macOS ŝarĝas en la sistemon, kaj macOS postulas eksplicitan decidon en Privateco kaj sekureco aŭ Eniraj eroj kaj etendaĵoj antaŭ ol aktivigi ĝin. Kvara kazo estas administrata Mac, kie politiko jam antaŭe aprobas la etendaĵon kaj la uzanto tute ne vidas dialogon.

Kion ĉiu aprobo efektive ŝanĝas

Instalilo ŝanĝas dosierojn sur la disko, kaj ĝiaj sekvoj finiĝas kiam la dosieroj estas forigitaj, krom restaĵoj. Reta agordo aldonas servodifinon, kiu aperas en la konekta listo kaj povas esti reaktivigita per reguloj laŭ postulo. La aprobo de etendaĵo ŝanĝas, kiun kodon la sistemo ŝarĝos kaj tenos ruliĝanta, kaj tial en iuj laborfluoj ĝi postvivis la malinstaladon de la videbla aplikaĵo. Forigi aplikaĵan pakon ne ĉiam forigas ĝian etendaĵon, kaj postlasita etendaĵo konservas siajn retajn privilegiojn.

La distingo antaŭdiras la simptomon. Instalita sed neniam konektiĝanta kutime signifas, ke la etendaĵo aprobiĝis nenie; konektiĝanta sed kun agordoj, kiuj revenas ĉe la sekva ŝanĝo, kutime signifas, ke administra politiko posedas la difinon.

Subskribo kaj eldonisto decidas la respondon

Antaŭ aprobi, legu, kiu subskribis la aferon, anstataŭ kion sugestas la piktogramo de la dialogo. Du lokaj kontroloj sufiĉas por vidi la subskriban aŭtoritaton kaj ĉu la takso de la sistemo pasas sur ĉi tiu maŝino.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Pako nesubskribita aŭ ne notarie atestita ne estas aŭtomate malica, sed ĝi meritas alian decidon ol subskribita pako de la eldonisto, kiun vi celis. Pako, kiu alvenis per mesaĝo anstataŭ de la propra retejo de la eldonisto, estas la kazo, kie la respondo estas simple ne.

Komparu la teaman identigilon kun la publikigita identeco de la eldonisto anstataŭ fidi la montratan nomon de la aplikaĵo, ĉar nomojn facilas reuzi, identigilojn ne. Se la eldonisto publikigas la identigilon en sia instala gvidilo, tiu paĝo estas la referenco por la komparo kaj ankaŭ la loko, kie malkongruo raportiĝu. Kliento de revendisto, repakita konstruaĵo aŭ portebla kopio el forumo meritas pli da suspekto ol la subskribita elŝuto de la sama eldonisto.

Kiam politiko posedas la decidon

Sur kompania Mac la administranto eble jam decidis. Administra profilo povas liveri la VPN-difinon, antaŭe aprobi la etendaĵon kaj ŝlosi la konekton tiel, ke ĝi ne forigeblas. En tia aranĝo, la peto enigi pasvorton ofte estas peto anstataŭigi decidon, kiu neniam estis via.

Malaltigi la sekurecon de startigo aŭ malkonekti administradon por devigi instaladon ŝanĝas la minacmodelon de la maŝino permanente por solvi provizoran problemon. Tiu interŝanĝo malofte fariĝas konscie; ĝi kutime okazas dum sekvado de forumafiŝo. Petu anstataŭe la administranton pri la subtenata vojo, kiu eble estas tiel simpla kiel resendi la profilon aŭ aprobi la etendaĵon ĉe la servila flanko. Se la administranto ne povas aprobi ĝin, tiu respondo estas la konkludo, ne obstaklo por ĉirkaŭiri.

Konfirmu la staton post aprobo

Post kiam rajtigita aprobo estas donita, kontrolu, kion pensas la sistemo, anstataŭ kion asertas la kliento. La etendaĵa listo raportas la aktivigan staton sen bezoni ajnan triapartan ilon.

systemextensionsctl list

Ero montrata kiel aktivigita apartenas al la teama identigilo, kiun vi kontrolis pli frue; ero montrata kiel finita kaj atendantanta aprobon de la uzanto klarigas klienton, kiu startas kaj neniam portas trafikon. Se la prompto revenas post ĉiu provo, kaptu la precizan mesaĝon kaj la klientan version, ĉar ripetiĝanta aprobo kutime signifas, ke la etendaĵo anstataŭiĝas sen malaktivigi la antaŭan, kaj tio estas subtena kazo, ne pasvorta problemo. Notu la version antaŭ ol telefoni al subteno, ĉar la solvo eble jam ekzistas en pli nova konstruaĵo kaj la konversacio komenciĝos tie.