Mac VPN On Demand: تطابق SSID در واقع چه چیزی را اثبات می‌کند؟
تطابق SSID یک شرط قاعده است، نه شاهدی بر اعتماد. قاعده On Demand را بسازید، پیش‌فرض شبکه ناشناس را انتخاب کنید و مسدودسازی را جدا نگه دارید.
اتصال VPN در همه‌جا جز Wi-Fi دفتر شبیه یک سیاست دو خطی به نظر می‌رسد، و بخش دشوار هرگز تشخیص نام شبکه نبوده است. بخش دشوار تصمیم‌گیری درباره این است که یک نام منطبق اجازه دارد چه چیزی را اثبات کند. هر نقطه دسترسی می‌تواند یک SSID آشنا را پخش کند، و یک ping موفق به یک نشانی تنها اثبات می‌کند که یک کاوشگر پاسخ گرفته است. هیچ‌یک از این دو مشاهده ثابت نمی‌کند که Mac در یک شبکه داخلی احراز هویت‌شده قرار دارد.
نام، هویت نیست
SSID برچسبی است که یک رادیو پخش می‌کند. این برچسب کلید، گواهی یا بیانیه‌ای درباره مالکیت سخت‌افزار نیست، و یک محل برگزاری رویداد یا دفتر همسایه می‌تواند همان رشته را بدون هیچ هماهنگی پخش کند. برخورد با این برچسب به‌عنوان دستوری برای خاموش کردن حفاظت، تصمیم را به کسی می‌سپارد که نزدیک‌ترین نقطه دسترسی را پیکربندی کرده است.
آزمون ping به دلیلی ظریف‌تر شکست می‌خورد: به پرسشی درباره دسترسی‌پذیری پاسخ می‌دهد، نه درباره عضویت. هدفی که پاسخ می‌دهد ممکن است از هر جا قابل دسترسی باشد، ممکن است فقط از طریق همان تونلی قابل دسترسی باشد که می‌خواهید درباره‌اش تصمیم بگیرید، یا ممکن است یک درگاه اسیر باشد که چیزی شبیه پاسخ برمی‌گرداند. دسترسی‌پذیری یک واقعیت سودمند و یک مرز اعتماد بد است.
On Demand چگونه یک مجموعه قواعد را ارزیابی می‌کند
مدل On Demand اپل یک کنش را با شرایط شبکه اختیاری جفت می‌کند، و قواعد به ترتیب ارزیابی می‌شوند: نخستین قاعده‌ای که همه شرایطش منطبق باشند کنش را تأمین می‌کند و بقیه بررسی نمی‌شوند. همین ترتیب، سیاست است؛ به همین دلیل قاعده‌ای که «محض احتیاط» افزوده شده می‌تواند رفتاری را که کار می‌کرد بی‌صدا بازنویسی کند.
شرط SSID به شبکه اصلی متصل فعلی اشاره دارد، نه به هر نامی که در یک پویش دیده می‌شود. این سه حالت متمایز پدید می‌آورد، و فشردن آن‌ها به دو حالت خطای رایج پیکربندی است:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
آن را همان‌جا پیکربندی کنید که سیاست زندگی می‌کند
یک کلاینت VPN تأییدشده یا یک گردش کار مدیریتی همان جایی است که این قاعده به آن تعلق دارد، و ارائه‌دهندگان مختلف زیرمجموعه‌های مختلفی از کنترل‌های موجود را در دسترس می‌گذارند. پس نبودن یک گزینه در آن پنل یعنی کلاینت آن را در دسترس نگذاشته است، نه اینکه پلتفرم نمی‌تواند آن را بیان کند.
فعال‌سازی خودکار همچنین به ترتیبی برای احراز هویت نیاز دارد که بدون انسان کامل شود، مانند یک گواهی یا روش پشتیبانی‌شده دیگر. یک کد یک‌بارمصرف ذخیره‌شده چنین ترتیبی نیست، و قاعده‌ای که در حالی فعال شود که احراز هویت نمی‌تواند کامل شود، تلاشی برای اتصال پدید می‌آورد که در پس‌زمینه بی‌صدا شکست می‌خورد.
دو الگو که ارزش نوشتن در runbook را دارند
نخستین الگو نام تقلیدی است. یک محل برگزاری کنفرانس، یک هتل یا یک مستأجر در همان ساختمان رشته‌ای را پخش می‌کند که قاعده شما آن را «داخل» می‌پندارد، و حفاظت دقیقاً در جایی خاموش می‌شود که کمترین تمایل را به آن دارید. نام دروغ نگفت؛ قاعده از آن پرسشی پرسید که پاسخش را ندارد.
دومین الگو کاوشگری است که خود را ناکام می‌کند. یک اسکریپت به یک نشانی خصوصی ping می‌زند، پاسخی از طریق تونل می‌بیند، نتیجه می‌گیرد که از قبل در شبکه داخلی است و قطع می‌کند. سپس کاوشگر شکست می‌خورد، پس اسکریپت دوباره وصل می‌شود و تکرار می‌کند، و تونل نوسان می‌کند در حالی که هر گام به‌تنهایی درست به نظر می‌رسد. آزمونی که نتیجه‌اش به تونل وابسته است نمی‌تواند هم‌زمان تصمیم بگیرد که آیا تونل باید وجود داشته باشد.
پیش‌فرض را تعیین کنید و جداگانه اعمال کنید
حالت شبکه ناشناس و حالت کابلی به پاسخ‌های صریح نیاز دارند، نه به یک پیش‌فرض ارثی. اگر ترافیک محافظت‌شده باید در حالی مسدود بماند که سیستم هنوز شبکه را دسته‌بندی می‌کند یا تونل را بالا می‌آورد، این کار به کنترل اعمال پشتیبانی‌شده خودش نیاز دارد؛ یک محرک On Demand رفتار اتصال را فراهم می‌کند، نه تضمین مسدودسازی.
قاعده مدیر، اگر درست نوشته شود، استثنای تأییدشده، شواهدی که آن را توجیه می‌کند و عقب‌نشینی عامدانه در نبود آن شواهد را بیان می‌کند. شناختن نام Wi-Fi درونداد مشروعی برای آن تصمیم است. این توجیه تصمیم نیست و هرگز نباید تنها خط قاعده باشد.