VPN-reitti ei anna etäkirjautumista Macillesi

Työ-VPN:ään liittyminen ei sinänsä kerro mitään siitä, voiko joku kirjautua Maciisi muualta. Kolmen erillisen asian on kohdattava: verkossa oleva polku, joka saavuttaa koneen, käynnissä oleva käyttöoikeuspalvelu ja lupa tietyn tilin käyttää tätä palvelua. Tunneli tarjoaa vain ensimmäisen. Kaikki muu tällä sivulla käsittelee kahden muun tarkistamista olettamatta vastausta.

Aloita palvelusta tai asennetusta komponentista, joka tarjoaisi etäkäytön, ja lakkaa päättelemästä sitä valikkorivin yhdistetyn tilan ilmaisimesta.

Kolme valvontaa, jotka ihmiset sulauttavat yhdeksi

Saavutettavuus vastaa siihen, voivatko paketit saapua. Jakamispalvelu vastaa siihen, kuunteleeko koneella jokin. Valtuutus vastaa siihen, mitkä identiteetit palvelu hyväksyy ja mihin ne saavat koskea päästyään sisään. VPN voi muuttaa ensimmäistä vastausta koskematta kahteen muuhun, ja juuri siksi kysymys tuottaa jatkuvasti huonoja johtopäätöksiä molempiin suuntiin.

Applen Remote Loginiä koskeva ohje on hyvä konkreettinen esimerkki tästä jaosta, koska se sijaitsee tietyssä paikassa ja sisältää omat tiliasiansa. Se on kohdassa System Settings, General, Sharing, ja se kuvaa SSH- ja SFTP-käytön sallittujen käyttäjien valinnalla. Täysi levypääsy etäkäyttäjille on jälleen erillinen vaihtoehto, mikä vahvistaa asian: palvelun käyttöönotto ei ole sama kuin kaikkien niiden ominaisuuksien myöntäminen, joita palvelu voisi tarjota.

Tarkista, mikä on todella käytössä

Käy läpi Sharing-paneeli ja merkitse muistiin jokainen päällä oleva palvelu, et vain odottamaasi. Remote Login, Screen Sharing ja File Sharing avaavat kukin eri pinnan, ja jokaisella on oma käyttäjäluettelonsa. SSH:n asetus ei kerro mitään näytön jakamisesta, eikä jakamisominaisuuden olemassaolo käyttöjärjestelmässä kerro mitään siitä, onko sitä käytetty.

Kartoita sitten, mikä muu voisi tarjota pääsyn: kolmannen osapuolen etätukiagentti, rekisteröinnin aikana asennettu hallintatyökalu tai näytönjakopalvelin, joka on pakattu jonkin muun kanssa. Ne eivät näy Sharing-paneelissa, ja juuri ne komponentit ihmiset unohtavat tarkastaessaan kannettavaa. Kirjoita muistiin jokainen agentti, jota et tunnista, sillä tuntematon prosessi, jolla on kuunteleva portti, on kiinnostavampi kuin tuttu ilman sitä. Lyhyt luettelo tuntemattomista on parempi kuin itsevarma johtopäätös, joka rakentuu ainoalle paneelille, jonka satuit avaamaan.

Kysy ylläpitäjältä, mitä rekisteröinti asensi

Jos työrekisteröintiin kuului kokoonpanoprofiili, ylläpitäjän hyväksyntä tai lisäohjelmisto, pyydä sitä hallinnoivaa henkilöä vastaamaan kolmeen asiaan: mitkä komponentit asennettiin, mitkä oikeudet niillä on ja mikä pysyy aktiivisena, kun katkaiset yhteyden. VPN-reitillä ja etuoikeutetulla päätepisteagentilla on hyvin erilaiset valmiudet, ja yleensä vain toinen niistä on käyttäjälle näkyvissä.

Sallitusta etätukijärjestelystä hanki yksityiskohdat kirjallisesti: ketkä käyttäjät on valtuutettu, mitä toimintoja on tarkoitus tehdä, näkyykö vahvistuskehotus ja miten järjestely poistetaan, kun toimeksianto päättyy. Älä myönnä pääsyä kaikille käyttäjille tai laajoja levyoikeuksia vain testataksesi, saako tuki yhteyden, sillä se testi laajentaa rajaa pysyvästi.

Jos löydät todisteen, jota et odottanut

Tuntematon yhteysloki tai päälle kytketty kytkin on vihje, ei todiste tietyn henkilön toiminnasta. Säilytä asiaankuuluvat ei-salaiset tapahtumat, kirjaa ajat ja käytä organisaation tai alustan incident-prosessia sen sijaan, että kohtaisit jonkun kasvokkain tai poistaisit todisteita toivoen, että asia ratkeaa itsestään.

Hallinnoidulla laitteella anna sen omistajan tarkistaa ehdotetut muutokset ennen kuin poistat käytöstä valvonnan, jota käytäntö vaatii. Työverkkoon liitetyllä henkilökohtaisella laitteella pyydä selkeä rekisteröintiraja ja tuettu poistumismenettely, mukaan lukien se, mitä poistetaan ja mikä jää.

Hyödyllinen vastaus nimeää mekanismin ja sen takana olevan vallan. Se ei koskaan lupaa rajoittamatonta työnantajan pääsyä eikä täydellistä turvallisuutta tunnelin leiman takia, eikä se sekoita reittiä kirjautumiseen.