Mac VPN -järjestelmänvalvojan kehote: asennus, laajennus vai käytäntö?

VPN-asiakkaan salasanakehotteet näyttävät vaihdettavilta eivätkä ole. Samankaltaisen valintaikkunan takana on neljä eri toimintoa: tiedostojen kirjoittaminen suojattuun sijaintiin asennuksen aikana, verkkokokoonpanon lisääminen tai muuttaminen, liikennettä kuljettavan järjestelmälaajennuksen aktivoiminen, ja hallintapalvelimen jo asettaman käytännön noudattaminen. Jokaisella on eri omistaja, eri vaikutusalue ja eri tapa varmistaa, että se toimi. Näkemäsi viestin sovittaminen yhteen näistä neljästä on koko harjoitus.

Kolme eri hyväksyntää näyttävät samalta

Asennusohjelman valtuutus on yksinkertaisin tapaus: paketti kirjoittaa hakemistoihin, joita tavallinen käyttäjä ei voi muuttaa, ja macOS pyytää järjestelmänvalvojan tunnistetietoja sen sallimiseksi. Järjestelmä ei päätä, onko ohjelmisto turvallista; se päättää, saatko kirjoittaa sinne. Siksi paketti voi asentua puhtaasti ja olla silti hyödytön: asennushyväksyntä ei kerro mitään siitä, sallitaanko koodin suorittaminen myöhemmin. Asennuksen jälkeen sovellus voi tarvita toisen hyväksynnän ennen kuin se voi vaikuttaa verkkoon.

Verkkokokoonpanon valtuutus kattaa järjestelmän yhteysluettelon muutokset. VPN-palvelun lisääminen tai verkonvalvojan määrittämien asetusten muuttaminen vaatii oikeuksien korottamista, koska nämä määritelmät vaikuttavat koneen jokaiseen tiliin. Tämä hyväksyntä antaa kokoonpanovaltuudet, ei liikennevaltuuksia.

Laajennuksen hyväksyntä on se, jolla on merkitystä sille, miten paketit kulkevat. Nykyaikainen asiakas asentaa järjestelmälaajennuksen, jonka macOS lataa järjestelmään, ja macOS vaatii ennen sen aktivoimista nimenomaisen päätöksen kohdassa Tietosuoja ja turvallisuus tai Kirjautumiskohteet ja laajennukset. Neljäs tapaus on hallittu Mac, jossa käytäntö hyväksyy laajennuksen jo ennakkoon eikä käyttäjä näe lainkaan valintaikkunaa.

Mitä kukin hyväksyntä todella muuttaa

Asennusohjelma muuttaa tiedostoja levyllä, ja sen seuraukset päättyvät, kun tiedostot poistetaan, jäänteitä lukuun ottamatta. Verkkokokoonpano lisää palvelumääritelmän, joka näkyy yhteysluettelossa ja voidaan aktivoida uudelleen tarpeen mukaan säännöillä. Laajennuksen hyväksyntä muuttaa sitä, mitä koodia järjestelmä lataa ja pitää käynnissä, minkä vuoksi se joissakin työnkuluissa säilyy näkyvän sovelluksen poistamisen jälkeen. Sovelluspaketin poistaminen ei aina poista sen laajennusta, ja jäljelle jäänyt laajennus säilyttää verkkokäyttöoikeutensa.

Ero ennustaa oireen. Asennettu mutta ei koskaan yhteyttä ottava tarkoittaa yleensä, ettei laajennusta ole hyväksytty missään; yhteyden ottava mutta asetukset seuraavassa muutoksessa palauttava tarkoittaa yleensä, että hallintakäytäntö omistaa määritelmän.

Allekirjoitus ja julkaisija ratkaisevat vastauksen

Lue ennen hyväksymistä, kuka asian allekirjoitti, älä sitä, mitä valintaikkunan kuvake antaa ymmärtää. Kaksi paikallista tarkistusta riittää näkemään allekirjoitusviranomaisen ja sen, läpäiseekö järjestelmän arvio tällä koneella.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Allekirjoittamaton tai notaariovahvistamaton paketti ei ole automaattisesti haitallinen, mutta ansaitsee eri päätöksen kuin allekirjoitettu paketti julkaisijalta, jota tarkoitit. Paketti, joka saapui viestin kautta eikä julkaisijan omalta sivustolta, on tapaus, jossa vastaus on yksinkertaisesti ei.

Vertaa tiimitunnistetta julkaisijan julkistamaan identiteettiin sen sijaan, että luottaisit sovelluksen näyttönimeen, sillä nimiä on helppo käyttää uudelleen, tunnisteita ei. Jos julkaisija julkistaa tunnisteen asennusoppaassaan, se sivu on vertailun viite ja myös paikka, jossa ristiriita tulee ilmoittaa. Jälleenmyyjän asiakas, uudelleenpakattu koontiversio tai foorumilta peräisin oleva siirrettävä kopio ansaitsee enemmän epäilystä kuin saman julkaisijan allekirjoitettu lataus.

Kun käytäntö omistaa päätöksen

Yrityksen Macissa järjestelmänvalvoja on ehkä jo päättänyt. Hallintaprofiili voi toimittaa VPN-määritelmän, hyväksyä laajennuksen ennakkoon ja lukita yhteyden, jotta sitä ei voi poistaa. Tällaisessa järjestelyssä salasanan syöttämispyyntö on usein pyyntö ohittaa päätös, joka ei koskaan ollut sinun.

Käynnistysturvallisuuden laskeminen tai hallinnan irrottaminen asennuksen pakottamiseksi muuttaa koneen uhkamallia pysyvästi tilapäisen ongelman ratkaisemiseksi. Tätä vaihtokauppaa tehdään harvoin tietoisesti; se tapahtuu yleensä foorumiviestiä seuratessa. Pyydä sen sijaan järjestelmänvalvojalta tuettu polku, joka voi olla yhtä yksinkertainen kuin profiilin uudelleenlähetys tai laajennuksen hyväksyminen palvelinpuolella. Jos järjestelmänvalvoja ei voi hyväksyä sitä, se vastaus on löydös, ei este, jota pitäisi kiertää.

Vahvista tila hyväksynnän jälkeen

Kun valtuutettu hyväksyntä on annettu, varmista, mitä järjestelmä ajattelee, älä sitä, mitä asiakas väittää. Laajennusluettelo ilmoittaa aktivointitilan ilman kolmannen osapuolen työkalua.

systemextensionsctl list

Aktivoituna näytetty merkintä kuuluu aiemmin tarkistamaasi tiimitunnisteeseen; päättyneenä ja käyttäjän hyväksyntää odottavana näytetty merkintä selittää asiakkaan, joka käynnistyy eikä koskaan kuljeta liikennettä. Jos kehote palaa jokaisen yrityksen jälkeen, tallenna tarkka viesti ja asiakkaan versio, sillä toistuva hyväksyntä tarkoittaa yleensä, että laajennus korvataan deaktivoimatta edellistä, ja se on tukitapaus, ei salasanaongelma. Merkitse versio muistiin ennen tukeen soittamista, sillä korjaus voi jo olla uudemmassa koontiversiossa ja keskustelu alkaa sieltä.