VPN macOS-en saioa hasi aurretik: desblokeoa, saio-hasiera leihoa, saioa
FileVault-en desblokeoa, saio-hasiera leihoa eta erabiltzaile-saioa etapa bereiziak dira. Saio-hasieran abiatzen den mahaigaineko bezeroak azkena baino ez du konpontzen.
Hona hemen jendeari aste bat kostatzen dion uste bat: Mac batek saioa hasi aurretik deitzen den une bakarra duela eta VPN bezeroa orduan abiatzen dela edo ez. Makinak, egia esan, gutxienez hiru une ditu sareko sarbidea garrantzitsua den, eta une horretan nori dagoen kredentzialak edukitzeko baimenduta bereizten ditu. Saio-hasierako elementu batetik abiatutako bezeroak horietako bat baino ez du estaltzen, eta azkena da.
Ezarpen bakar batek abiarazte osoa estaltzen duen mitoa
Irakurri berriro produktuaren orria eta begiratu zein etapi deitzen dion eginbideak. Saio-hasieran abiarazi idatzitako laukitxo batek saio-hasierako elementu bat esan nahi du, erabiltzaile-saio bat existitzen ondoren exekutatzen dena. Eskariaren arabera konektatu idatzitako laukitxo batek bezeroak trafikoa arau batekin bat datorrenean konexio bat irekitzen duela esan nahi du, eta horrek oraindik bezeroa eta haren kredentzialak eskuragarri egon behar dituela eskatzen du.
Horietako batek ere ez du abiarazte-prozesua lortzen. Ez da saltzaileak kentzea ahaztu duen muga bat; sistema eragileak uzten duena da. Bolumena desblokeatu aurretik ez dago bezero bat abiatzeko sistema martxan, eta saioa itxi ondoren erabiltzailearen sekretuak saioarekin batera joaten dira. Bi horma bereizi, eta batek ere ez dio beste laukitxo bati amore ematen.
Etapak bereizten dituzunean, jatorrizko galderak forma aldatzen du. VPN-a saioa hasi aurretik abiatzen den galdetu beharrean, hiru unetako zeinek funtzionatu behar duen galdetzen duzu, eta orduan deskubritzen duzu bakoitzak jabe desberdin bat duela: zifratze-pila, sare-hedapena edo erabiltzaile-saioa.
Zer gertatzen den benetan etapa bakoitzean
Abiaraztea bolumen zifratu batekin hasten da, eta hori desblokeatu behar da helburu orokorretarako sistema erabilgarririk egon aurretik. Desblokeo hori testuinguru mugatu batean gertatzen da kredentzial-multzo mugatu batekin, eta Apple-k argi dokumentatzen du datu zifratuak desblokeo baliagarri bat gabe irisgaitzak izaten jarraitzen dutela.
Ondoren saio-hasiera leihoa dator, non sistema martxan dagoen baina oraindik ez dagoen erabiltzaile-saiorik. Erabiltzaile-testuinguruko hedapen bat jada amaitu da erabiltzaileak saioa itxi badu, eta sistema-hedapen global bat oraindik martxan egon daiteke, baina martxan egotea ez da zure VPN-ak behar dituen kredentzialak edukitzea.
Gero saioa dator, non bezero normal batek saio-hasierako giltza-sorta irakur dezakeen, bigarren faktore bat eskatu eta bultzatutako ibilbideak aplikatu. Jendeak saioa hasi aurretik gisa deskribatzen dituen eginbide gehienak etapa hau dira, saioaren hasieran abiarazia eta ez aurretik.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
Zergatik launch daemon batek ezin duen erabiltzaile absente baten ordez saioa hasi
Pribilegio altuak arazoa konpondu beharko lukeela dirudi, eta ez du konpontzen. Launch daemon bat sistema-prozesu gisa exekutatzen da atzean erabiltzaile-saiorik gabe, beraz ez dago desblokeatzeko giltza-sortarik eta ez dago eskari bati erantzuteko pertsonarik. Socketa bat ireki eta fitxategi bat irakur dezake; egin ezin duena kredentzialen jabe den erabiltzaile bihurtzea da. Pribilegioa ez da identitatea, eta hemen nahasten dira biak zehazki.
Hutsune horretan jendeak eraikitzen duena pasahitza duen script bat da, eta hori hasierako arazoa baino arazo okerragoa da.
Baldintzaren bertsio zintzoa estuagoa da. Makinak baliabide babestera iritsi behar badu inor bertan ez dagoenean, baliabide horrek onartzen duen identitateak makina pertsona gabe edukitzeko modukoa izan behar du: gailu-ziurtagiri bat, sistemaren giltza-sortako kredentzial bat edo bigarren faktorea norbaiten poltsikoko telefonora bidalitako push bat ez den kontua. Diseina ezazu identitate hori asmo onez, eta etaparen galderak normalean berak erantzuten du.
Windows-en saioa hasi aurreko eginbidea ez da transferitzen
Windows-ek dokumentatutako saioa hasi aurreko sarbide-mekanismoa du urruneko sarbide produktu batzuetarako, eta izenak gaitasunak baino hobeto bidaiatzen du. Windows-en hedapen-gida batean deskribatutako eginbide batek ez dizu ezer esaten saltzaile berak macOS-en baliokide bat inplementatzen duen ala ez.
Eskatu Mac-en hardwarea, macOS-en bertsioa, bezeroaren bertsioa eta benetan erabiltzen duzun autentikazio-metodoa estaltzen dituen adierazpen bat. Laguntza-afirmazio orokor bat ez da nahikoa, funtzionatzearen eta ez funtzionatzearen arteko aldea askotan horietako batean egoten baita.
Saltzaileak erantzun ezin badu, hori da erantzuna. Planifikatu saioaren etapa eta diseinatu alternatiba bat zaintzarik gabeko kasurako, hutsunea hedapen batean zehar deskubritu beharrean.
Zer eskatu horren ordez
Idatzi baldintza etapen hizkuntzan. Zein baliabide, nori behar zaion, zein testuingurutan eta zein atzerapen onargarrirekin konexioa oraindik ez dagoenean?
Erantzuna saioa hasi eta gero tunela behar duen erabiltzaile bat bada, eskariaren araberako konexioa eta abiarazte-elementu bat nahikoa dira eta merkeak. Erantzuna gauez berrabiarazten den eta txostena eman behar duen makina bat bada, diseinuak onartutako disko-desblokeo bide bat, gailu-identitate bat eta sarea inoiz altxatzen ez denean funtzionatzen duen berreskuratze-prozesu bat behar ditu. Erantzuna tunelaren mende dagoen erakunde-saio-hasiera bada, orduan saio-hasieraren, identitatearen eta VPN-aren diseinuak elkarrekin eraiki behar dira, ez bereizita erosi.
Apple-en FileVault dokumentazioa da desblokeo-etaparako abiapuntu egokia. Ondoren datorren guztia bezero eta identitate kontua da, eta saltzailearen adierazpen batek erosi aurretik erabaki beharko luke.