Mac VPN administraatori küsimus: installimine, laiend või poliitika?

VPN-kliendi parooliküsimused näivad vahetatavad ja ei ole seda. Sarnase dialoogi taga peitub neli erinevat toimingut: failide kirjutamine kaitstud asukohta installimise ajal, võrguseadistuse lisamine või muutmine, liiklust kandva süsteemilaiendi aktiveerimine, ja haldusserveri juba seatud poliitika järgimine. Igal on erinev omanik, erinev mõjuraadius ja erinev viis kontrollida, et see töötas. Nähtava sõnumi sobitamine ühega neist neljast ongi kogu harjutus.

Kolm erinevat kinnitust näevad ühesugused välja

Paigaldaja autoriseerimine on lihtsaim juhtum: pakett kirjutab kataloogidesse, mida tavatarbijal pole võimalik muuta, ja macOS küsib selle lubamiseks administraatori mandaati. Süsteem ei otsusta, kas tarkvara on turvaline; see otsustab, kas te tohib sinna kirjutada. Seetõttu võib pakett paigalduda puhtalt ja olla siiski kasutu: paigaldamise kinnitus ei ütle midagi selle kohta, kas koodil lubatakse hiljem töötada. Pärast paigaldamist võib rakendus vajada veel teist kinnitust, enne kui see saab võrku mõjutada.

Võrguseadistuse autoriseerimine hõlmab süsteemi ühenduste loendi muudatusi. VPN-teenuse lisamine või võrguadministraatori seadistatud sätete muutmine nõuab õiguste tõstmist, sest need määratlused mõjutavad masina kõiki kontosid. See kinnitus annab seadistusvolituse, mitte liiklusvolituse.

Laiendi kinnitus on see, mis loeb selle jaoks, kuidas paketid liiguvad. Kaasaegne klient paigaldab süsteemilaiendi, mille macOS süsteemi laadib, ja macOS nõuab enne selle aktiveerimist selgesõnalist otsust jaotises Privaatsus ja turvalisus või Sisselogimisüksused ja laiendid. Neljas juhtum on hallatav Mac, kus poliitika kinnitab laiendi juba ette ja kasutaja ei näe üldse dialoogi.

Mida iga kinnitus tegelikult muudab

Paigaldaja muudab kettal olevaid faile ja selle tagajärjed lõpevad, kui failid eemaldatakse, välja arvatud jäägid. Võrguseadistus lisab teenuse määratluse, mis ilmub ühenduste loendisse ja mida saab nõudmisel reeglitega uuesti aktiveerida. Laiendi kinnitus muudab, millist koodi süsteem laadib ja töös hoiab, mistõttu mõnes töövoos jääb see nähtava rakenduse desinstallimise järel alles. Rakendusepaketi eemaldamine ei eemalda alati selle laiendit ja mahajäänud laiend säilitab oma võrguõigused.

Erinevus ennustab sümptomit. Paigaldatud, kuid ei ühendu kunagi, tähendab tavaliselt, et laiend pole kusagil kinnitatud; ühendub, kuid sätted taastuvad järgmisel muudatusel, tähendab tavaliselt, et määratlust omab halduspoliitika.

Allkiri ja avaldaja otsustavad vastuse

Enne kinnitamist lugege, kes asja allkirjastas, mitte mida dialoogi ikoon vihjab. Kahest kohalikust kontrollist piisab, et näha allkirjastajat ja kas süsteemi hinnang sellel masinal läbib.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Allkirjastamata või notariaalselt kinnitamata pakett ei ole automaatselt pahatahtlik, kuid see väärib teistsugust otsust kui kavatsetud avaldaja allkirjastatud pakett. Sõnumi kaudu, mitte avaldaja enda saidilt saabunud pakett on juhtum, kus vastus on lihtsalt ei.

Võrrelge meeskonna identifikaatorit avaldaja avaldatud identiteediga, selle asemel et usaldada rakenduse kuvatavat nime, sest nimesid on lihtne uuesti kasutada, identifikaatoreid mitte. Kui avaldaja avaldab identifikaatori oma paigaldusjuhendis, on see leht võrdluse aluseks ja ka koht, kus lahknevusest tuleks teatada. Edasimüüja klient, ümberpakendatud versioon või foorumist pärit kaasaskantav koopia väärib rohkem kahtlust kui sama avaldaja allkirjastatud allalaadimine.

Kui otsust omab poliitika

Ettevõtte Macis on administraator võib-olla juba otsustanud. Haldusprofiil saab VPN-määratluse edastada, laiendi ette kinnitada ja ühenduse lukustada, nii et seda ei saa eemaldada. Sellises korralduses on parooli sisestamise palve sageli palve tühistada otsus, mis polnud kunagi teie oma.

Käivitusturvalisuse langetamine või halduse lahtiühendamine installimise sundimiseks muudab masina ohumudelit jäädavalt, et lahendada ajutine probleem. Seda vahetust tehakse harva teadlikult; see juhtub tavaliselt foorumipostitust järgides. Küsige selle asemel administraatorilt toetatud teed, mis võib olla sama lihtne kui profiili uuesti saatmine või laiendi kinnitamine serveri poolel. Kui administraator ei saa seda kinnitada, on see vastus leid, mitte takistus, millest mööda minna.

Kinnitage olek pärast kinnitamist

Kui volitatud kinnitus on antud, kontrollige, mida süsteem arvab, mitte mida klient väidab. Laiendite loend teatab aktiveerimisolekust ilma kolmanda osapoole tööriistata.

systemextensionsctl list

Aktiveerituna näidatud kirje kuulub varem kontrollitud meeskonna identifikaatorile; lõpetatuna ja kasutaja kinnitust ootavana näidatud kirje selgitab klienti, mis käivitub ega kanna kunagi liiklust. Kui küsimus naaseb pärast iga katset, registreerige täpne sõnum ja kliendi versioon, sest korduv kinnitus tähendab tavaliselt, et laiendit asendatakse ilma eelmist deaktiveerimata, ja see on tugijuhtum, mitte parooliprobleem. Märkige versioon enne toe helistamist, sest parandus võib uuemas versioonis juba olemas olla ja vestlus algab sealt.