Aviso de administrador da VPN de Mac: instalación, extensión ou política?

Os avisos de contrasinal dun cliente VPN parecen intercambiables e non o son. Catro accións distintas agóchanse detrás dun diálogo similar: escribir ficheiros nunha localización protexida durante a instalación, engadir ou cambiar unha configuración de rede, activar unha extensión de sistema que transporta tráfico, e cumprir unha política que xa estableceu un servidor de xestión. Cada unha ten un propietario distinto, un radio de impacto distinto e unha forma distinta de verificar que funcionou. Emparellar a mensaxe que ves cunha desas catro é todo o exercicio.

Tres aprobacións distintas parecen iguais

A autorización do instalador é o caso máis simple: un paquete escribe en directorios que un usuario estándar non pode modificar, e macOS pide credenciais de administrador para permitilo. O sistema non decide se o software é seguro; decide se ti podes escribir alí. É tamén por iso que un paquete pode instalarse limpiamente e seguir sendo inútil: a aprobación da instalación non di nada sobre se o código terá permiso para executarse despois. Unha vez instalada, a aplicación pode necesitar unha segunda aprobación antes de poder influír na rede.

A autorización da configuración de rede cobre cambios na lista de conexións do sistema. Engadir un servizo VPN, ou cambiar axustes que configurou un administrador de rede, require elevación porque esas definicións afectan a todas as contas da máquina. Esta aprobación concede autoridade de configuración, non autoridade de tráfico.

A aprobación de extensión é a que importa para como viaxan os paquetes. Un cliente moderno instala unha extensión de sistema que macOS carga no sistema, e macOS require unha decisión explícita en Privacidade e seguridade ou Elementos de inicio e extensións antes de activala. Un cuarto caso é un Mac xestionado, onde unha política xa aproba previamente a extensión e o usuario non ve ningún diálogo.

Que cambia realmente cada aprobación

Un instalador cambia ficheiros no disco, e as súas consecuencias rematan cando se eliminan os ficheiros, agás os restos. Unha configuración de rede engade unha definición de servizo que aparece na lista de conexións e pode reactivarse por regras baixo demanda. A aprobación dunha extensión cambia que código cargará o sistema e manterá en execución, e por iso sobrevive á desinstalación da aplicación visual nalgúns fluxos de traballo. Eliminar un paquete de aplicación non sempre elimina a súa extensión, e unha extensión deixada atrás conserva os seus privilexios de rede.

A distinción predí o síntoma. Instalado pero nunca conectando normalmente significa que a extensión non está aprobada en ningún sitio; conectando pero con axustes que volven ao seguinte cambio normalmente significa que unha política de xestión é dona da definición.

A sinatura e o editor deciden a resposta

Antes de aprobar, le quen asinou a cousa en lugar do que suxire a icona do diálogo. Dúas comprobacións locais abondan para ver a autoridade de sinatura e se a avaliación do sistema pasa nesta máquina.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Un paquete sen asinar ou sen notarizar non é automaticamente malicioso, pero merece unha decisión distinta que un asinado polo provedor que pretendías. Un paquete que chegou por unha mensaxe en lugar do sitio propio do provedor é o caso no que a resposta é simplemente non.

Compara o identificador de equipo coa identidade publicada polo provedor en lugar de confiar no nome de visualización da aplicación, xa que os nomes son fáciles de reutilizar e os identificadores non. Se o provedor publica o identificador na súa guía de instalación, esa páxina é a referencia para a comparación e tamén o lugar onde se debe informar dunha discrepancia. Un cliente dun revendedor, unha compilación reempaquetada ou unha copia portátil dun foro merece máis sospeita que a descarga asinada do mesmo provedor.

Cando unha política é dona da decisión

Nun Mac corporativo o administrador pode ter decidido xa. Un perfil de xestión pode entregar a definición VPN, aprobar previamente a extensión e bloquear a conexión para que non se poida eliminar. Nese arranxo a petición de introducir un contrasinal é a miúdo unha petición de anular unha decisión que nunca foi túa.

Baixar a seguridade de arranque ou desvincular a xestión para forzar unha instalación cambia o modelo de ameaza da máquina de forma permanente para resolver un problema temporal. Ese intercambio raramente se fai conscientemente; adoita ocorrer mentres se segue unha publicación dun foro. Pide ao administrador o camiño admitido, que pode ser tan simple como reenviar o perfil ou aprobar a extensión no servidor. Se o administrador non pode aprobala, esa resposta é a conclusión, non un obstáculo que rodear.

Confirma o estado despois de aprobar

Unha vez dada unha aprobación autorizada, verifica o que pensa o sistema en lugar do que afirma o cliente. A lista de extensións informa do estado de activación sen necesidade de ningunha ferramenta de terceiros.

systemextensionsctl list

Unha entrada mostrada como activada pertence ao identificador de equipo que comprobaches antes; unha entrada mostrada como terminada agardando aprobación do usuario explica un cliente que arranca e nunca transporta tráfico. Se o aviso volve tras cada intento, captura a mensaxe exacta e a versión do cliente, porque unha aprobación repetida normalmente significa que a extensión está a ser substituída sen que a anterior fose desactivada, e iso é un caso de asistencia e non un problema de contrasinal. Anota a versión antes de chamar á asistencia, xa que a corrección pode existir xa nunha compilación máis nova e a conversación comezará por aí.