VPN foar oanmelding op macOS: ûntsluting, oanmeldingsfinster, sesje
FileVault-ûntsluting, it oanmeldingsfinster en in brûkerssesje binne aparte fazen. In buroblêdkliïnt dy't by oanmelding start, oplost allinnich de lêste fan har.
Hjir is in oertsjûging dy't minsken in wike kostet: dat in Mac ien momint hat dat foar oanmelding hjit, en dat in VPN-kliïnt dan óf start óf net. De masine hat eins op syn minst trije mominten wêr't netwurk tagong ta docht, skieden troch wa't op dat stuit tastimming hat om fernijmde gegevens te hâlden. In kliïnt dy't ût in oanmeldingselem start, dekt krekt ien fan har, en dat is de lêste.
De myte dat ien ynstelling de hiele opstart dekt
Lês de produktpagina nochris en sjoch hokker faze de funksje neamt. In oanfinkfakje mei de tekst starte by oanmelding betsjut in oanmeldingselem, dat rint neidat in brûkerssesje bestiet. In oanfinkfakje mei de tekst ferbine op oanfraach betsjut dat de kliïnt in ferbining iepenet as ferkear oan in regel foldocht, wat noch altyd freget dat de kliïnt en syn fernijmde gegevens beskikber binne.
Gjin fan beide berikt it opstartproses. Dat is gjin beheining dy't de leveransier fergetten is fuort te heljen; it is wat it bestjoeringssysteem tastiet. Foardat it bondel ûntsletten is, is der gjin rinnend systeem om in kliïnt ût te starten, en nei ôfmelding geane de geheimmen fan de brûker mei de sesje fuort. Twa aparte muorren, en gjinien jout ta oan in oar oanfinkfakje.
Sadree't jo de fazen skiede, feroaret de oarspronklike fraach fan foarm. Ynstee fan te freegjen oft de VPN foar oanmelding start, freegje jo hokker fan trije konkrete mominten wurkje moat, en dan ûntdekke jo dat elk in oare eigner hat: de fersiferingstoapel, de netwurkûtwreiding of de brûkerssesje.
Wat der wier by elke faze bart
Opstart begjint mei in fersifere bondel dy't ûntsletten wurde moat foardat der in brûkber systeem is foar wat dan ek algemien. Dy ûntsluting bart yn in beheinde kontekst mei in beheinde set fernijmde gegevens, en Apple dokumintearret dúdlik dat fersifere gegevens sûnder jildige ûntsluting net tagonklik bliuwe.
Dêrnei komt it oanmeldingsfinster, wêr't it systeem rint mar der noch gjin brûkerssesje is. In ûtwreiding yn brûkerskontekst is al einige as de brûker ôfmeld is, en in globale systeemûtwreiding kin noch rinne, mar rinne is net itselde as it hâlden fan de fernijmde gegevens dy't jo VPN nedich hat.
Dan komt de sesje, wêr't in gewoane kliïnt de oanmeldingskaai-bondel lêze kin, in twadde faktor freegje en de trochstjoerde rûtes tapasse. De measte funksjes dy't minsken as foar oanmelding beskriuwe, binne eins dizze faze, betiid yn 'e sesje aktivearre en net dêrfoar.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
Wêrom't in launch daemon him net oanmelde kin foar in ôfwêzige brûker
Ferhege foech fielt as moat it probleem oplosse, en it docht it net. In launch daemon rint as systeemproses sûnder brûkerssesje derachter, dus is der gjin kaai-bondel om te ûntsleuten en gjin minske om in fraach te beântwurdzjen. Hy kin in socket iepenje en in bestân lêze; wat er net kin, is de brûker wurde dy't de fernijmde gegevens besit. Foech is gjin identiteit, en dit is krekt it punt wêr't de twa troch elkoar helle wurde.
Wat minsken yn dat gat bouwe, is in skript mei in wachtwurd deryn, wat in slimmer probleem is as dat wêrmei't se begûn binne.
De earlike ferzje fan 'e eask is smeller. As de masine in beskerme boarne berikke moat wylst der nimmen oanwêzich is, dan moat de identiteit dy't dy boarne akseptearret ien wêze dy't de masine sûnder minske hâlde kin: in apparaatsertifikaat, in fernijmd gegeven yn 'e systeemkaai-bondel of in akkount wêrfan't de twadde faktor gjin push nei in telefoan yn immen syn bûsê is. Untwerp dy identiteit bewust, en de fraach fan 'e faze beântwurdet himsels meastentiids.
De Windows-funksje foar oanmelding giet net oer
Windows hat in dokumintearre tagongsmechanisme foar oanmelding foar guon produkten foar tagong op ôfstân, en de namme reizget better as de mooglikheid. In funksje beskreaun yn in Windows-ûtrôljochting fertelt jo neat oer oft deselde leveransier in ekwivalint op macOS ymplemintearret.
Freegje om in ferklearring dy't de Mac-hadeware, de macOS-ferzje, de kliïntferzje en de autentikaasjemetoade dy't jo wier brûke, dekt. In algemiene bewearing fan stipe is net genôch, want it ferskil tusken wurkjen en net wurkjen sit faak yn ien fan dy fjouwer.
As de leveransier net antwurdzje kin, is dat it antwurd. Plan de sesjefaze en ûntwerp in alternative foar it gefal sûnder tafersjoch, ynstee fan it gat by in ûtrôl te ûntdekken.
Wat jo ynstee freegje moatte
Skriuw de eask yn 'e taal fan 'e fazen. Hokker boarne, nedich foar wa, yn hokker kontekst en mei hokker akseptabele fertraging as de ferbining der noch net is?
As it antwurd in brûker is dy't oanmeldt en dan de tunnel nedich hat, binne ferbine op oanfraach en in opstartelem genôch en goedkeap. As it antwurd in masine is dy't nachts wer opstart en ferslach dwaan moat, hat it ûntwerp in stipe paad foar it ûntsleuten fan 'e skiif, in apparaatidentiteit en in werstelproses nedich dat wurket as it netwurk nea omheech komt. As it antwurd oanmelding fan 'e organisaasje is dy't fan 'e tunnel ôfhinget, dan moatte de ûntwerpen fan oanmelding, identiteit en VPN tegearre boud wurde, net apart kocht.
Apple syn FileVault-dokumintaasje is it goede begjinpunt foar de ûntslutingsfaze. Alles dêrnei is in fraach fan kliïnt en identiteit dy't in ferklearring fan 'e leveransier foar de oankeap besljochtsje moat.