Mac VPN On Demand: wat bewiist in SSID-oerienkomst eins?
In SSID-oerienkomst is in betingst fan in regel, gjin bewiis fan fertrouwen. Bou de On Demand-regel, kies de standert foar ûnbekende netwurken en hâld de blokkearring apart.
De VPN oeral ferbine behalve op it Wi-Fi fan it kantoar klinkt as in belied fan twa rigels, en it dreechste diel wie noait it werkenne fan in netwurknamme. It dreechste diel is beslute wat in oerienkommende namme bewize mei. Elk tagongspunt kin in fertroude SSID útstjoere, en in slagge ping nei ien adres bewizet allinnich dat ien inkel fersyk in antwurd krige. Gjin fan beide waarnimmings bewiist dat de Mac op in autentisearre yntern netwurk sit.
In namme is gjin identiteit
In SSID is in label dat in radio útstjoert. It is gjin kaai, sertifikaat of ferklearring oer wa't de hardware hat, en in evenemintelokaasje of in kantoar njonken kin deselde tekenrige útstjoere sûnder ienige koördinaasje. It label behannelje as in opdracht om de beskerming út te setten jout de beslissing oan wa't it tichtstbye tagongspunt konfigurearre hat.
De ping-test falt ôf om in subtilere reden: hy beantwurdet in fraach oer berikberens, net oer lidmaatskip. In doel dat antwurdet kin fan oeral berikber wêze, kin allinnich berikber wêze fia de tunnel dêr't jo oer beslisse wolle, of kin in captive portal wêze dy't wat weromstjoert dat op in antwurd liket. Berikberens is in nuttich feit en in min fertrouwensgrins.
Hoe't On Demand in regelset beoardielet
It On Demand-model fan Apple keppelt in aksje oan opsjonele netwurkbetingsten, en de regels wurde op folchoarder beoardiele: de earste regel waans betingsten allegear oerienkomme leveret de aksje, en de oare wurde net rieplachte. Dy folchoarder is it belied, en dêrom kin in regel dy't «foar de wisheid» taheakke is stilwei gedrach oerskriuwe dat wurke.
De SSID-betingst ferwiist nei it hjoeddeistige primêre ferbûne netwurk, net nei elke namme dy't by in scan sichtber is. Dat jout trije ûnderskate tastannen, en se werombringe ta twa is de gewoane konfiguraasjeflater:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Konfigurearje it dêr't it belied wennet
In goedkarde VPN-klant of in behearswurkstream is it plak dêr't dizze regel heart, en ferskate providers eksposearje ferskate dielsets fan de beskikbere kontrôles. In ûntbrekkende opsje yn dat paniel betsjut dêrom dat de klant it net eksposearre hat, net dat it platfoarm it net útdrukke kin.
Automatyske aktivearring hat ek in autentikaasje-opset nedich dy't sûnder minske klear komme kin, lykas in sertifikaat of in oare stipe metoade. In bewarre ienmalige koade is dy opset net, en in regel dy't ôfgean wylst de autentikaasje net klear komme kin, leveret in ferbyningspoging dy't stil yn de eftergrûn mislearret.
Twa patroanen dy't it wurdich binne om yn it runbook te skriuwen
It earste is de neibearde namme. In konferinsjelokaasje, in hotel of in hierder yn itselde gebou stjoert de tekenrige út dy't jo regel as «binnen» behannelet, en de beskerming giet krekt dêr út dêr't jo it minst wolle. De namme lei net; de regel stelde him in fraach dy't er net beantwurdzje kin.
It twadde is de selsferslaande probe. In skript pingt in privee adres, sjocht in antwurd fia de tunnel, konkludearret dat it al op it ynterne netwurk is en ferbrekt. Dêrnei falt de probe ôf, dus it skript ferbynt wer en werhellet, en de tunnel ossilearret wylst elke inkele stap korrekt liket. In test waans resultaat fan de tunnel ôfhinget kin net tagelyk beslute oft de tunnel bestean moat.
Beslis de standert en hanthavenje dy apart
It gefal fan it ûnbekende netwurk en it gefal fan kabel nedich eksplisite antwurden ynstee fan in erfd standert. As beskerme ferkear blokkearre bliuwe moat wylst it systeem it netwurk noch klassifisearret of de tunnel omheech bringt, freget dat syn eigen stipe hanthaveningskontrôle; in On Demand-trigger leveret ferbyningsgedrach, gjin blokkearingsgarânsje.
Goed skreaun neamt de administratorregel de goedkarde útsûndering, it bewiis dat dy rjochtfeardiget en de bewuste weromfal as dat bewiis ûntbrekt. It werkenne fan in Wi-Fi-namme is in legitime ynfier foar dy beslissing. It is net de rjochtfeardiging fan de beslissing, en it moat nea de iennige rigel yn de regel wêze.