Zure scriptak VPN-a abiarazten du, baina ez du hura prestatu

Konexioaren izenarekin scutil --nc start exekutatzen duen script bat idazten duzu, zure Mac-en funtzionatzen du, eta bulegoko makin berri guztietan huts egiten du. Scripta ez dago hondatuta. Inoiz egin ezin zuen zerbait eskatzen zaio: lehendik dagoen konexio bat abiaraztea ez da berri bat sortzearen eragiketa bera.

Prestaketa eta saioaren kontrola bi lan dira, bi jabe dituztenak, eta kontrakoa suposatzen duen lan-fluxu batek idatzi zen makinan proba guztiak gaindituko ditu.

Zerekin hitz egiten du benetan abiarazte-komandoak

Saioaren kontrolerako komando batek lehendik dagoen eta dagoeneko onartuta dagoen konfigurazio bati heltzen dio. Sistemari konexio izendatu hori altxatzeko eskatzen dio, lehenago gordetako zerbitzari-ezarpenak, identitate-erreferentziak eta politika erabilita. Horiek inoiz instalatu ez badira, ez dago ezer abiarazteko.

Horregatik agertzen da hutsegitea hardware berrian eta ez administratzailearen eramangarrian. Eramangarria duela hilabete batzuk prestatu zuen hori ahaztu duen norbaiten eskutik. Pentsa ezazu abiarazte-komandoa aurreko hiruhilekoan norbaitek kableatu zuen ate-txirrina bezala. Hura sakatzea ez da kableatua instalatzearen berdina.

VPN konfigurazio baten hiru jabe

Erakundeak kudeatutako profila gailuen kudeaketak ematen du. Profilak zerbitzariaren helbideak, autentifikazioaren antolamendua eta erakundeak eskatzen duen politika daramatza, eta VPN administratzailea horiek ematen dituen pertsona da. Script batek ez luke ezarpen horiek berreraiki behar zerrendan aurkitutako bistaratze-izen batetik.

VPN konfigurazio pertsonal natiboa Apple-ren Network Extension API bidez sortzen da, eta horrek barneko IPsec eta IKEv2 protokoloak hartzen ditu. Aplikazio-interfaze bat da, gordetze-urratsa eta erabiltzailearen onarpena dituena, ez hornitzaile batek ematen duen tunel mota edozein isilpean sortzen duen shell-komando bat.

Hirugarrenen bezeroa hirugarren kasua da, bere inportazio-formatua, bere kudeaketa-tresna eta sarritan bere pribilegiatutako laguntzailea dituena. Bere saioa hornitzaile horren prozesuarena da. Antzeko izena duen sistema-zerbitzu bat aurkitzea ez da sistema-komando batek tunela kontrolatzen duen froga, eta hori suposatzeak funtzionatzen dutela diruditen scriptak sortzen ditu hornitzaileak bezeroa eguneratu arte.

Prestaketa natiboak gordetze bat eta onarpen bat ditu

Apple-ren eredua kargatu, aldatu, gorde da. Aplikazio batek lehendik dauden hobespenak kargatzen ditu abiaraztearen ondorengo lehen gordetzea baino lehen, konfigurazioa aldatzen du eta gero gordetzen du. Gordetzeak errore bat jakinarazten du ezin duenean iraun, eta emaitza hori ez ikusteak prestaketa-hutsegitea konexio-hutsegite bihurtzen du hiru urrats geroago.

Lehen gordetzeak erabiltzaileak aplikazioa onartzea ere eskatzen du. Segurtasun-muga deliberatu bat da, eta esan nahi du Mac berri bateko lehen exekuzioa interaktiboa dela, geroagoko konexio eta deskonexio guztiak automatiza daitezkeen arren. Planifikatu lehen exekuzioa pertsona bat bertan dagoen giza zeregin gisa. Automatizatu bigarren exekuzioa eta aurrerakoak, eta esan hori runbookean inork ez dezan ezinezkoa agindu. Lehen exekuzio guztiz gainbegiratu gabea agintzen duen hedapen-plan batek plataformak eskaintzen ez duen zerbait agintzen du.

Apple-k ere gomendatzen du zerbitzariaren bateragarritasuna konfigurazio-profil batekin balioztatzea APIan fidatu aurretik. Egiaztapen hori lehen egiteak «zerbitzariak ez du bezero hau onartuko» eta «bezeroak ez zituen ezarpenak inoiz gorde» bereizten ditu, eta horiek talde desberdinetarako txartel desberdinak dira.

Zer suposa dezakeen abiarazte-komando errepikagarri batek

Prestaketaren ondoren, script batek segurtasunez hel diezaioke lehendik dagoen konexioari bere jabearen interfazearen bidez. Emaiozu konexioaren identitate egonkorra eta nahi duzun ekintza, eta besterik ez. Ez luke asmatutako hobespen-bide bat irakurri behar, ezta menuan erakutsitako izena sistema osoan bakarra denik suposatu behar.

Konexio natiboetarako, scutil --nc start bezalako saio-eskaera izendatu bat kontrol-eragiketa da. Ez ditu zerbitzariaren ezarpenak instalatzen, ez ditu kredentzialak inportatzen eta ez du lehen gordetzearen baimenik egiten. Trata ezazu kate baten azken urrats gisa, inoiz ez kate oso gisa.

Eduki sekretuak komando-lerroko argumentuetatik eta diagnostiko-irteera arruntetik kanpo. Hedapenak aukeratu zuen identitate-mekanismoa da abiarazte-komandoak fidatu behar duena, eta shell-historialean itsatsitako pasahitz bat aurkikuntza da edozein berrikuspenetan.

Bi onarpen-egiaztapen

Lehen egiaztapena prestaketa da: hartu berriki instalatutako Mac bat eta frogatu konfigurazioa han dagoela, kudeatzaile egokiarena dela eta guztiz onartuta dagoela. Egin hori konektibitatea probatu aurretik, prestatu gabeko makinan egindako konexio-probak ezer ere ez baitu frogatzen scriptari buruz.

Bigarren egiaztapena saioa da: konektatu, iritsi baimendutako baliabidera eta deskonektatu garbi. Hutsegite bakoitzak jabe bat du orain, eta hori da bi lanak bereiztearen onura praktikoa. Falta den profila entrega-arazoa da, gordetze-errorea onarpen-arazoa da, ukatu den saio-hasiera autentifikazio-arazoa da, eta abiarazte arrakastatsuaren ondorengo denbora-muga saio-geruza da. Horietako bat ere ez da «scripta hondatuta dago».