اعلان مدیر در Mac VPN: نصب، افزونه یا سیاست؟

اعلان‌های رمز عبور از یک کلاینت VPN قابل‌تعویض به نظر می‌رسند و نیستند. پشت یک پنجره مشابه چهار عمل متمایز پنهان است: نوشتن فایل‌ها در مکان محافظت‌شده هنگام نصب، افزودن یا تغییر پیکربندی شبکه، فعال‌سازی یک افزونه سیستم که ترافیک را حمل می‌کند، و پیروی از سیاستی که یک سرور مدیریت از پیش تعیین کرده است. هر یک مالک متفاوت، دامنه تأثیر متفاوت و روش متفاوتی برای بررسی موفقیت دارد. تطبیق پیامی که می‌بینید با یکی از این چهار، تمام تمرین است.

سه تأیید متفاوت یکسان به نظر می‌رسند

مجوز نصب‌کننده ساده‌ترین حالت است: بسته‌ای در پوشه‌هایی می‌نویسد که کاربر عادی نمی‌تواند تغییرشان دهد، و macOS برای اجازه دادن به آن اعتبارنامه مدیر می‌خواهد. سیستم تصمیم نمی‌گیرد که آیا نرم‌افزار ایمن است؛ تصمیم می‌گیرد که آیا شما اجازه نوشتن در آنجا را دارید. به همین دلیل یک بسته می‌تواند بی‌نقص نصب شود و باز هم بی‌فایده باشد: تأیید نصب هیچ چیزی درباره اجازه اجرای کد پس از آن نمی‌گوید. پس از نصب، برنامه ممکن است پیش از تأثیرگذاری بر شبکه به تأیید دومی نیاز داشته باشد.

مجوز پیکربندی شبکه تغییرات فهرست اتصال‌های سیستم را در بر می‌گیرد. افزودن یک سرویس VPN یا تغییر تنظیماتی که مدیر شبکه پیکربندی کرده است به ارتقای دسترسی نیاز دارد، چون این تعریف‌ها بر هر حساب روی دستگاه اثر می‌گذارند. این تأیید اختیار پیکربندی می‌دهد، نه اختیار ترافیک.

تأیید افزونه همان چیزی است که در نحوه سفر بسته‌ها اهمیت دارد. کلاینت مدرن یک افزونه سیستم نصب می‌کند که macOS آن را در سیستم بارگذاری می‌کند، و macOS پیش از فعال‌سازی آن تصمیم صریح در حریم خصوصی و امنیت یا موارد ورود و افزونه‌ها می‌خواهد. حالت چهارم یک Mac مدیریت‌شده است که در آن سیاست از پیش افزونه را تأیید می‌کند و کاربر هیچ پنجره‌ای نمی‌بیند.

هر تأیید در واقع چه چیزی را تغییر می‌دهد

نصب‌کننده فایل‌های روی دیسک را تغییر می‌دهد و پیامدهای آن با حذف فایل‌ها پایان می‌یابد، جز باقی‌مانده‌ها. پیکربندی شبکه یک تعریف سرویس اضافه می‌کند که در فهرست اتصال‌ها ظاهر می‌شود و ممکن است با قواعد درخواستی دوباره فعال شود. تأیید افزونه تغییر می‌دهد که سیستم چه کدی را بارگذاری و در حال اجرا نگه دارد، و به همین دلیل در برخی گردش‌کارها از حذف برنامه قابل‌مشاهده جان سالم به در می‌برد. حذف یک بسته برنامه همیشه افزونه آن را حذف نمی‌کند، و افزونه‌ای که باقی می‌ماند امتیازهای شبکه خود را حفظ می‌کند.

این تمایز نشانه را پیش‌بینی می‌کند. نصب‌شده اما هرگز متصل نمی‌شود معمولاً یعنی افزونه هیچ‌جا تأیید نشده است؛ متصل می‌شود اما با تنظیماتی که در تغییر بعدی برمی‌گردند معمولاً یعنی سیاست مدیریت مالک تعریف است.

امضا و ناشر پاسخ را تعیین می‌کنند

پیش از تأیید، بخوانید چه کسی چیز را امضا کرده، نه اینکه نماد پنجره چه چیزی را القا می‌کند. دو بررسی محلی کافی است تا مرجع امضا و اینکه ارزیابی سیستم روی این دستگاه می‌گذرد را ببینید.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

بسته بدون امضا یا بدون تأیید رسمی لزوماً مخرب نیست، اما سزاوار تصمیمی متفاوت از بسته امضاشده ناشری است که در نظر داشتید است. بسته‌ای که از طریق پیام و نه از سایت خود ناشر رسیده، همان حالتی است که پاسخ به‌سادگی نه است.

شناسه تیم را با هویت منتشرشده ناشر مقایسه کنید، نه با نام نمایشی برنامه، چون نام‌ها به‌راحتی دوباره استفاده می‌شوند و شناسه‌ها نه. اگر ناشر شناسه را در راهنمای نصب خود منتشر می‌کند، آن صفحه مرجع مقایسه و همچنین جایی است که ناسازگاری باید گزارش شود. کلاینت از یک فروشنده واسط، نسخه بسته‌بندی‌شده مجدد یا کپی قابل‌حمل از یک انجمن بیش از دانلود امضاشده همان ناشر مشکوک است.

وقتی سیاست مالک تصمیم است

روی یک Mac شرکتی، مدیر ممکن است از قبل تصمیم گرفته باشد. یک نمایه مدیریت می‌تواند تعریف VPN را تحویل دهد، افزونه را از پیش تأیید کند و اتصال را قفل کند تا قابل حذف نباشد. در چنین ترتیبی، درخواست ورود رمز عبور غالباً درخواست لغو تصمیمی است که هرگز مال شما نبود.

کاهش امنیت راه‌اندازی یا جدا کردن مدیریت برای تحمیل نصب، مدل تهدید دستگاه را برای حل یک مشکل موقت به‌طور دائمی تغییر می‌دهد. این معاوضه به‌ندرت آگاهانه انجام می‌شود؛ معمولاً هنگام دنبال کردن یک نوشته انجمن رخ می‌دهد. در عوض از مدیر مسیر پشتیبانی‌شده را بخواهید، که ممکن است به سادگی ارسال دوباره نمایه یا تأیید افزونه در سمت سرور باشد. اگر مدیر نمی‌تواند آن را تأیید کند، همان پاسخ یافته است، نه مانعی برای دور زدن.

وضعیت را پس از تأیید بررسی کنید

پس از صدور تأیید مجاز، بررسی کنید سیستم چه فکر می‌کند، نه کلاینت چه ادعا می‌کند. فهرست افزونه‌ها وضعیت فعال‌سازی را بدون نیاز به ابزار شخص ثالث گزارش می‌کند.

systemextensionsctl list

ورودی‌ای که فعال نشان داده می‌شود به شناسه تیمی تعلق دارد که قبلاً بررسی کردید؛ ورودی‌ای که پایان‌یافته و در انتظار تأیید کاربر نشان داده می‌شود کلاینتی را توضیح می‌دهد که شروع می‌شود و هرگز ترافیک حمل نمی‌کند. اگر اعلان پس از هر تلاش بازگردد، پیام دقیق و نسخه کلاینت را ثبت کنید، چون تأیید تکرارشونده معمولاً یعنی افزونه بدون غیرفعال کردن افزونه قبلی جایگزین می‌شود، و این مورد پشتیبانی است نه مشکل رمز عبور. پیش از تماس با پشتیبانی نسخه را یادداشت کنید، چون اصلاح ممکن است در ساخت جدیدتری وجود داشته باشد و گفتگو از آنجا شروع شود.