Mac VPN On Demand: kion efektive pruvas SSID-koincido?
SSID-koincido estas kondiĉo de regulo, ne pruvo de fido. Konstruu la regulon On Demand, elektu la defaŭlton por nekonataj retoj kaj tenu la blokadon aparte.
Konekti la VPN ĉie krom la oficeja Wi-Fi sonas kiel du-linia politiko, kaj la malfacila parto neniam estis rekoni retan nomon. La malfacila parto estas decidi, kion kongrua nomo rajtas pruvi. Ajna alirpunkto povas elsendi konatan SSID, kaj sukcesa ping al unu adreso pruvas nur, ke unu sola peto ricevis respondon. Neniu el la du observoj pruvas, ke la Mac estas en aŭtentikigita interna reto.
Nomo ne estas identeco
SSID estas etikedo, kiun dissendas radio. Ĝi ne estas ŝlosilo, atestilo aŭ deklaro pri tio, kiu posedas la aparataron, kaj okazejo aŭ najbara oficejo povas dissendi la saman signoĉenon sen ia kunordigo. Trakti la etikedon kiel instrukcio por malŝalti la protekton transdonas la decidon al tiu, kiu agordis la plej proksiman alirpunkton.
La ping-testo malsukcesas pro pli subtila kialo: ĝi respondas demandon pri atingeblo, ne pri membreco. Celo, kiu respondas, povas esti atingebla de ie ajn, povas esti atingebla nur tra la tunelo, pri kiu vi provas decidi, aŭ povas esti kaptita portalo, kiu redonas ion, kio aspektas kiel respondo. Atingeblo estas utila fakto kaj malbona fidolimo.
Kiel On Demand taksas regulan aron
La modelo On Demand de Apple parigas agon kun nedevigaj retaj kondiĉoj, kaj la reguloj estas taksataj laŭvice: la unua regulo, kies kondiĉoj ĉiuj kongruas, donas la agon, kaj la ceteraj ne estas konsultataj. Tiu ordo estas la politiko, kaj tial regulo aldonita «por la okazo» povas silente reverki konduton, kiu funkciis.
La SSID-kondiĉo rilatas al la nuna ĉefa konektita reto, ne al ĉiu nomo videbla en skano. Tio produktas tri apartajn statojn, kaj kunigi ilin al du estas la kutima agorda eraro:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Agordi ĝin tie, kie loĝas la politiko
Aprobita VPN-kliento aŭ administra laborfluo estas la loko, al kiu apartenas ĉi tiu regulo, kaj diversaj provizantoj elmontras diversajn subarojn de la disponeblaj kontroloj. Manka opcio en tiu panelo do signifas, ke la kliento ne elmontris ĝin, ne ke la platformo ne povas esprimi ĝin.
Aŭtomata aktivigo ankaŭ bezonas aŭtentikigan aranĝon, kiu povas finiĝi sen homo, ekzemple atestilon aŭ alian subtenatan metodon. Konservita unufoja kodo ne estas tiu aranĝo, kaj regulo, kiu ekfunkcias dum la aŭtentikigo ne povas finiĝi, produktas konektoprovon, kiu malsukcesas silente en la fono.
Du ŝablonoj indaj je skribo en la runbook
La unua estas la imita nomo. Konferenca centro, hotelo aŭ luanto en la sama konstruaĵo dissendas la signoĉenon, kiun via regulo traktas kiel «interne», kaj la protekto malŝaltiĝas ĝuste tie, kie vi plej malmulte volas ĝin. La nomo ne mensogis; la regulo demandis al ĝi demandon, kiun ĝi ne povas respondi.
La dua estas la memvenka provo. Skripto pings privatan adreson, vidas respondon tra la tunelo, konkludas, ke ĝi jam estas en la interna reto, kaj malkonektiĝas. Poste la provo malsukcesas, do la skripto rekonektiĝas kaj ripetas, kaj la tunelo oscilas dum ĉiu unuopa paŝo aspektas ĝusta. Provo, kies rezulto dependas de la tunelo, ne povas samtempe decidi, ĉu la tunelo ekzistu.
Decidu la defaŭlton, poste plenumu aparte
La kazo de nekonata reto kaj la kazo de kablo bezonas eksplicitajn respondojn anstataŭ heredita defaŭlto. Se protektata trafiko devas resti blokita, dum la sistemo ankoraŭ klasifikas la reton aŭ starigas la tunelon, tio postulas propran subtenatan plenumkontrolon; On-Demand-ekigilo donas konektan konduton, ne blokgarantion.
Skribita ĝuste, la administranta regulo deklaras la aprobitan escepton, la pruvojn, kiuj ĝin pravigas, kaj la konscian retiriĝon, kiam tiuj pruvoj mankas. Rekoni Wi-Fi-nomon estas legitima enigo en tiu decido. Ĝi ne estas la pravigo de la decido, kaj ĝi neniam devus esti la sola linio en la regulo.