Mac VPN On Demand: mida SSID-i sobivus tegelikult tõestab?
SSID-i sobivus on reegli tingimus, mitte tõend usalduse kohta. Koostage On Demand reegel, valige tundmatute võrkude vaikeväärtus ja hoidke blokeerimine eraldi.
VPN-i ühendamine kõikjal peale kontori Wi-Fi kõlab kaherealise poliitikana ja raske osa pole kunagi olnud võrgu nime äratundmine. Raske osa on otsustada, mida sobiv nimi tohib tõestada. Iga juurdepääsupunkt võib välja saata tuttava SSID-i ja edukas ping ühele aadressile tõestab ainult seda, et üks päring sai vastuse. Kumbki tähelepanek ei tõenda, et Mac on autenditud sisemises võrgus.
Nimi ei ole identiteet
SSID on silt, mida raadio välja saadab. See ei ole võti, sertifikaat ega väide selle kohta, kellele riistvara kuulub, ja ürituse toimumiskoht või naaber kontor võib sama sõne edastada ilma igasuguse kooskõlastuseta. Sildi käsitlemine käsuna kaitse välja lülitada annab otsuse sellele, kes seadis kõige lähema juurdepääsupunkti üles.
Ping-test ebaõnnestub peenemal põhjusel: see vastab küsimusele kättesaadavuse, mitte liikmelisuse kohta. Vastav sihtmärk võib olla kättesaadav kõikjalt, võib olla kättesaadav ainult selle tunnel kaudu, mille üle te otsustada tahate, või võib olla kinnistatud portaal, mis tagastab vastusena näiva asja. Kättesaadavus on kasulik fakt ja halb usalduspiir.
Kuidas On Demand reeglistikku hindab
Apple’i On Demand mudel seob tegevuse valikuliste võrgutingimustega ja reegleid hinnatakse järjekorras: esimene reegel, mille kõik tingimused sobivad, annab tegevuse ning ülejäänuid ei uurita. See järjestus on poliitika, mistõttu «igaks juhuks» lisatud reegel võib vaikselt ümber kirjutada käitumist, mis toimis.
SSID-i tingimus viitab praegusele esmasele ühendatud võrgule, mitte igale skaneerimisel nähtavale nimele. See annab kolm eristuvat olekut ja nende kaheks kokkusurumine on tavaline seadistusviga:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Seadistage see seal, kus poliitika elab
Heakskiidetud VPN-klient või haldustöövoog on koht, kuhu see reegel kuulub, ja eri pakkujad avavad erinevaid osajoukke saadaolevatest juhtelementidest. Puuduv valik selles paneelis tähendab seega, et klient ei avanud seda, mitte et platvorm ei suuda seda väljendada.
Automaatne aktiveerimine vajab ka autentimiskorraldust, mis suudab valmida ilma inimeseta, näiteks sertifikaati või muud toetatud meetodit. Salvestatud ühekordne kood ei ole see korraldus, ja reegel, mis käivitub, kui autentimine ei saa valmida, tekitab ühenduskatse, mis ebaõnnestub taustal vaikselt.
Kaks mustrit, mis tasub runbooki kirjutada
Esimene on jäljendatud nimi. Konverentsikeskus, hotell või sama hoone üürnik saadab välja sõne, mida teie reegel peab «seesmiseks», ja kaitse lülitub välja täpselt seal, kus te seda kõige vähem soovite. Nimi ei valetanud; reegel esitas talle küsimuse, millele ta ei saa vastata.
Teine on iseennast tühistav test. Skript pingib privaatset aadressi, näeb tunnelit pidi vastust, järeldab, et on juba sisemises võrgus, ja katkestab ühenduse. Seejärel test ebaõnnestub, nii et skript ühendab uuesti ja kordab, ning tunnel võngub, samal ajal kui iga üksik samm näib õige. Test, mille tulemus sõltub tunnelist, ei saa ühtlasi otsustada, kas tunnel peaks olemas olema.
Otsustage vaikeväärtus ja rakendage seda eraldi
Tundmatu võrgu juhtum ja kaabli juhtum vajavad selgesõnalisi vastuseid, mitte päritud vaikeväärtust. Kui kaitstud liiklus peab jääma blokeerituks, kuni süsteem veel võrku liigitab või tunnelit üles toob, nõuab see omaette toetatud jõustamiskontrolli; On Demand päästik annab ühenduskäitumise, mitte blokeerimisgarantii.
Õigesti kirjutatuna nimetab administraatori reegel heakskiidetud erandi, seda õigustavad tõendid ja teadliku taganemise, kui need tõendid puuduvad. Wi-Fi nime äratundmine on selle otsuse jaoks seaduslik sisend. See ei ole otsuse õigustus ja see ei tohiks kunagi olla reegli ainus rida.