Unha ruta VPN non concede acceso remoto ao teu Mac

Unirse a unha VPN de traballo non di nada, por si só, sobre se alguén pode iniciar sesión no teu Mac desde outro lugar. Teñen que coincidir tres cousas separadas: unha ruta de rede que chegue á máquina, un servizo de acceso que estea en execución e o permiso para que unha conta concreta use ese servizo. O túnel só fornece a primeira. Todo o demais nesta páxina trata de comprobar as outras dúas sen dar a resposta por feita.

Comeza polo servizo ou o compoñente instalado que fornecería acceso remoto, e deixa de deducilo a partir dun indicador de estado conectado na barra de menús.

Tres controis que a xente funde nun

A alcanzabilidade responde se os paquetes poden chegar. Un servizo de compartición responde se hai algo escoitando na máquina. A autorización responde que identidades acepta o servizo e que poden tocar unha vez dentro. Unha VPN pode cambiar a primeira resposta sen tocar as outras dúas, e por iso mesmo a pregunta segue producindo conclusións malas en ambos os sentidos.

A guía de Apple sobre Remote Login é un bo exemplo concreto desa separación, porque vive nun lugar específico e leva as súas propias opcións de conta. Está en Axustes do Sistema, Xeral, Compartir, e describe o acceso SSH e SFTP cunha selección de usuarios permitidos. O acceso completo ao disco para usuarios remotos é outra opción á parte, o que reforza a idea: activar un servizo non é o mesmo que conceder todas as capacidades que o servizo podería ofrecer.

Comproba que está realmente activado

Percorre o panel Compartir e anota cada servizo que estea activado, non só o que esperabas. Remote Login, Compartir pantalla e Compartir ficheiros abren cada un unha superficie distinta, e cada un ten a súa propia lista de usuarios. Un axuste para SSH non di nada sobre compartir pantalla, e a presenza dunha función de compartición no sistema operativo non di nada sobre se alguén a usou.

Despois inventaría que máis podería dar acceso: un axente de asistencia remota de terceiros, unha ferramenta de xestión instalada durante a alta ou un servidor de compartición de pantalla incluído con outra cousa. Estes non aparecen no panel Compartir, e son os compoñentes que a xente esquece cando audita un portátil. Anota cada axente que non poidas identificar, porque un proceso descoñecido cun porto en escoita é máis interesante ca un coñecido sen el. Unha lista curta de descoñecidos vale máis ca unha conclusión segura construída sobre o único panel que abriches por casualidade.

Pregunta ao administrador que instalou a alta

Se a alta de traballo incluíu un perfil de configuración, unha aprobación dun administrador ou software adicional, pide á persoa que o xestiona que responda tres cousas: que compoñentes se instalaron, que permisos teñen e que segue activo despois de que te desconectes. Unha ruta VPN e un axente privilexiado de punto final teñen capacidades moi distintas, e normalmente só un deles é visible para o usuario.

Para un acordo de asistencia remota permitido, consegue os detalles por escrito: que usuarios están autorizados, que operacións se pretenden, se aparece un aviso de confirmación e como se retira o acordo cando remata o encargo. Non concedas acceso a todos os usuarios nin permisos de disco amplos só para probar se a asistencia pode conectarse, porque esa proba amplía o límite de forma permanente.

Se atopas probas que non esperabas

Un rexistro de conexións descoñecido ou un interruptor activado é unha pista, non unha proba da actividade dunha persoa concreta. Conserva os eventos relevantes que non sexan secretos, anota as horas e usa o proceso de incidentes da organización ou da plataforma en lugar de enfrontarte a alguén ou borrar probas coa esperanza de que se resolva só.

Nun dispositivo xestionado, fai que o seu propietario revise os cambios propostos antes de que desactives un control que esixe a política. Nun dispositivo persoal unido a unha rede de traballo, pide un límite claro de alta e un procedemento de saída compatible, incluído que se elimina e que queda.

A resposta útil nomea o mecanismo e a autoridade que hai detrás. Nunca promete nin acceso ilimitado do empregador nin seguridade completa pola etiqueta dun túnel, e non confunde unha ruta cun inicio de sesión.