Mac VPN On Demand: mitä SSID-osuma todella todistaa?
SSID-osuma on säännön ehto, ei todiste luottamuksesta. Rakenna On Demand -sääntö, valitse tuntemattomien verkkojen oletusarvo ja pidä estäminen erillään.
VPN:n yhdistäminen kaikkialla paitsi toimiston Wi-Fi-verkossa kuulostaa kahden rivin käytännöltä, ja vaikea osa ei koskaan ollut verkkonimen tunnistaminen. Vaikea osa on päättää, mitä vastaava nimi saa todistaa. Mikä tahansa tukiasema voi lähettää tutun SSID:n, ja onnistunut ping yhteen osoitteeseen todistaa vain, että yksi yksittäinen kysely sai vastauksen. Kumpikaan havainto ei osoita, että Mac on todennetussa sisäverkossa.
Nimi ei ole identiteetti
SSID on tarra, jota radio lähettää. Se ei ole avain, varmenne eikä väite siitä, kuka laitteen omistaa, ja tapahtumapaikka tai naapuritoimisto voi lähettää saman merkkijonon ilman mitään koordinointia. Tarran käsitteleminen käskynä kytkeä suojaus pois antaa päätöksen sille, joka määritti lähimmän tukiaseman.
Ping-testi epäonnistuu hienovaraisemmasta syystä: se vastaa saavutettavuutta koskevaan kysymykseen, ei jäsenyyttä koskevaan. Vastaava kohde voi olla saavutettavissa mistä tahansa, vain sen tunnelin kautta, josta yrität päättää, tai se voi olla captive-portaali, joka palauttaa vastaukselta näyttävän asian. Saavutettavuus on hyödyllinen tosiasia ja huono luottamusraja.
Miten On Demand arvioi sääntöjoukon
Applen On Demand -malli yhdistää toiminnon valinnaisiin verkkoehtoihin, ja säännöt arvioidaan järjestyksessä: ensimmäinen sääntö, jonka ehdot kaikki täyttyvät, antaa toiminnon, eikä muita kuulla. Tämä järjestys on käytäntö, minkä vuoksi «varmuuden vuoksi» lisätty sääntö voi hiljaa kirjoittaa uudelleen toimintaa, joka toimi.
SSID-ehto viittaa nykyiseen ensisijaiseen yhdistettyyn verkkoon, ei jokaiseen skannauksessa näkyvään nimeen. Se tuottaa kolme erillistä tilaa, ja niiden supistaminen kahteen on tavallinen määritysvirhe:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Määritä se siellä, missä käytäntö asuu
Hyväksytty VPN-asiakasohjelma tai hallintatyönkulku on paikka, johon tämä sääntö kuuluu, ja eri palveluntarjoajat tarjoavat eri osajoukot käytettävissä olevista ohjaimista. Puuttuva vaihtoehto tuossa paneelissa tarkoittaa siis, että asiakasohjelma ei tarjonnut sitä, ei sitä, ettei alusta voi ilmaista sitä.
Automaattinen aktivointi tarvitsee myös todentamisjärjestelyn, joka voi valmistua ilman ihmistä, kuten varmenteen tai muun tuetun menetelmän. Tallennettu kertakäyttökoodi ei ole tuo järjestely, ja sääntö, joka laukeaa, kun todentamista ei voi saattaa loppuun, tuottaa yhteysyrityksen, joka epäonnistuu hiljaa taustalla.
Kaksi mallia, jotka kannattaa kirjoittaa runbookiin
Ensimmäinen on jäljitelty nimi. Kongressikeskus, hotelli tai saman rakennuksen vuokralainen lähettää merkkijonon, jota sääntösi pitää «sisäisenä», ja suojaus kytkeytyy pois juuri siellä, missä haluaisit sitä vähiten. Nimi ei valehdellut; sääntö kysyi siltä kysymyksen, johon se ei voi vastata.
Toinen on itsensä kumoava koe. Skripti pingaa yksityistä osoitetta, näkee vastauksen tunnelin kautta, päättelee olevansa jo sisäverkossa ja katkaisee yhteyden. Sitten koe epäonnistuu, joten skripti yhdistää uudelleen ja toistaa, ja tunneli värähtelee, kun jokainen yksittäinen vaihe näyttää oikealta. Koe, jonka tulos riippuu tunnelista, ei voi samalla päättää, pitäisikö tunnelin olla olemassa.
Päätä oletusarvo ja valvo sitä erikseen
Tuntemattoman verkon tapaus ja kaapelin tapaus tarvitsevat nimenomaisia vastauksia perityn oletusarvon sijaan. Jos suojatun liikenteen on pysyttävä estettynä, kun järjestelmä vielä luokittelee verkkoa tai nostaa tunnelia, se vaatii oman tuetun valvontaohjaimen; On Demand -laukaisin antaa yhteyskäyttäytymistä, ei estotakeita.
Oikein kirjoitettuna ylläpitäjän sääntö ilmoittaa hyväksytyn poikkeuksen, sen oikeuttavat todisteet ja tarkoituksellisen varautumisen, kun ne todisteet puuttuvat. Wi-Fi-nimen tunnistaminen on laillinen syöte tähän päätökseen. Se ei ole päätöksen oikeutus, eikä sen pitäisi koskaan olla säännön ainoa rivi.