Mac VPN On Demand : qu’est-ce qu’une correspondance SSID prouve vraiment ?
Une correspondance SSID est une condition de règle, pas une preuve de confiance. Construisez la règle On Demand, choisissez le défaut des réseaux inconnus et gardez le blocage à part.
Connecter le VPN partout sauf sur le Wi-Fi du bureau ressemble à une politique de deux lignes, et la partie difficile n’a jamais été de reconnaître un nom de réseau. La partie difficile consiste à décider ce qu’un nom correspondant est autorisé à prouver. N’importe quel point d’accès peut annoncer un SSID familier, et un ping réussi vers une adresse prouve seulement qu’une sonde a reçu une réponse. Aucune des deux observations n’établit que le Mac se trouve sur un réseau interne authentifié.
Un nom n’est pas une identité
Un SSID est une étiquette qu’une radio émet. Ce n’est ni une clé, ni un certificat, ni une déclaration sur le propriétaire du matériel, et un lieu d’événement ou un bureau voisin peut diffuser la même chaîne sans aucune coordination. Traiter l’étiquette comme une instruction de désactiver la protection remet la décision à celui qui a configuré le point d’accès le plus proche.
Le test de ping échoue pour une raison plus subtile : il répond à une question de joignabilité, pas d’appartenance. Une cible qui répond peut être joignable depuis n’importe où, peut n’être joignable qu’à travers le tunnel sur lequel vous cherchez à statuer, ou peut être un portail captif qui renvoie quelque chose qui ressemble à une réponse. La joignabilité est un fait utile et une mauvaise frontière de confiance.
Comment On Demand évalue un ensemble de règles
Le modèle On Demand d’Apple associe une action à des conditions réseau facultatives, et les règles sont évaluées dans l’ordre : la première règle dont toutes les conditions correspondent fournit l’action, et les autres ne sont pas consultées. Cet ordre est la politique, c’est pourquoi une règle ajoutée « au cas où » peut réécrire silencieusement un comportement qui fonctionnait.
La condition SSID fait référence au réseau connecté principal actuel, pas à chaque nom visible lors d’une analyse. Cela produit trois états distincts, et les réduire à deux est l’erreur de configuration habituelle :
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Configurez-le là où vit la politique
Un client VPN approuvé ou un flux de travail de gestion est l’endroit où cette règle appartient, et différents fournisseurs exposent différents sous-ensembles des contrôles disponibles. Une option absente de ce panneau signifie donc que le client ne l’a pas exposée, et non que la plateforme ne peut pas l’exprimer.
L’activation automatique exige aussi un dispositif d’authentification qui peut se terminer sans humain, comme un certificat ou une autre méthode prise en charge. Un code à usage unique stocké n’est pas ce dispositif, et une règle qui se déclenche alors que l’authentification ne peut pas aboutir produit une tentative de connexion qui échoue discrètement en arrière-plan.
Deux schémas à inscrire dans le runbook
Le premier est le nom imitateur. Un lieu de conférence, un hôtel ou un locataire du même immeuble annonce la chaîne que votre règle traite comme « interne », et la protection se coupe exactement là où vous le souhaitez le moins. Le nom n’a pas menti ; la règle lui a posé une question à laquelle il ne peut pas répondre.
Le second est la sonde qui se sabote elle-même. Un script ping une adresse privée, voit une réponse à travers le tunnel, en conclut qu’il est déjà sur le réseau interne et se déconnecte. La sonde échoue alors, le script se reconnecte et répète, et le tunnel oscille tandis que chaque étape prise isolément semble correcte. Un test dont le résultat dépend du tunnel ne peut pas aussi décider si le tunnel doit exister.
Décidez le défaut, puis appliquez séparément
Le cas du réseau inconnu et le cas du câble exigent des réponses explicites plutôt qu’un défaut hérité. Si le trafic protégé doit rester bloqué pendant que le système classe encore le réseau ou monte le tunnel, cela demande son propre contrôle d’application pris en charge ; un déclencheur On Demand fournit un comportement de connexion, pas une garantie de blocage.
Correctement rédigée, la règle de l’administrateur énonce l’exception approuvée, les preuves qui la justifient et le repli délibéré lorsque ces preuves manquent. Reconnaître un nom Wi-Fi est une entrée légitime dans cette décision. Ce n’est pas la justification de la décision, et cela ne devrait jamais être la seule ligne de la règle.