Mac VPN On Demand: que demostra realmente unha coincidencia de SSID?
Unha coincidencia de SSID é unha condición de regra, non unha proba de confianza. Construíde a regra On Demand, escollede o valor por defecto das redes descoñecidas e mantede o bloqueo á parte.
Conectar a VPN en todas partes agás no Wi-Fi da oficina soa a unha política de dúas liñas, e a parte difícil nunca foi recoñecer o nome dunha rede. A parte difícil é decidir que pode demostrar un nome coincidente. Calquera punto de acceso pode anunciar un SSID coñecido, e un ping correcto a un enderezo só demostra que unha sonda recibiu resposta. Ningunha das dúas observacións establece que o Mac estea nunha rede interna autenticada.
Un nome non é unha identidade
Un SSID é unha etiqueta que emite unha radio. Non é unha chave, un certificado nin unha declaración sobre quen posúe o hardware, e un recinto ou unha oficina veciña pode difundir a mesma cadea sen coordinación algunha. Tratar a etiqueta como unha instrución para desactivar a protección entrega a decisión a quen configurou o punto de acceso máis próximo.
A proba de ping falla por unha razón máis sutil: responde a unha pregunta sobre accesibilidade, non sobre pertenza. Un destino que responde pode ser accesible desde calquera lugar, pode selo só a través do túnel sobre o que intenta decidir, ou pode ser un portal cativo que devolve algo que parece unha resposta. A accesibilidade é un feito útil e unha mala fronteira de confianza.
Como avalía On Demand un conxunto de regras
O modelo On Demand de Apple empareja unha acción con condicións de rede opcionais, e as regras avalíanse en orde: a primeira regra cuxas condicións coinciden todas achega a acción, e as demais non se consultan. Ese orde é a política, e por iso unha regra engadida «por se acaso» pode reescribir en silencio un comportamento que funcionaba.
A condición de SSID refírese á rede conectada primaria actual, non a cada nome visible nunha exploración. Iso produce tres estados distintos, e reducilos a dous é o erro de configuración habitual:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Configúreo onde vive a política
Un cliente VPN aprobado ou un fluxo de traballo de xestión é onde corresponde esta regra, e distintos provedores expoñen subconxuntos diferentes dos controis dispoñibles. Unha opción ausente nese panel significa, polo tanto, que o cliente non a expuxo, non que a plataforma non poida expresala.
A activación automática tamén necesita un mecanismo de autenticación que poida completarse sen unha persoa, como un certificado ou outro método compatible. Un código dun só uso almacenado non é ese mecanismo, e unha regra que se dispara mentres a autenticación non pode completarse produce un intento de conexión que falla en silencio en segundo plano.
Dous patróns que merecen entrar no runbook
O primeiro é o nome imitador. Un recinto de congresos, un hotel ou un inquilino do mesmo edificio anuncia a cadea que a súa regra trata como «dentro», e a protección apágase exactamente onde menos o desexaría. O nome non mentiu; a regra fíxolle unha pregunta que non pode responder.
O segundo é a sonda que se derrota a si mesma. Un script fai ping a un enderezo privado, ve unha resposta a través do túnel, conclúe que xa está na rede interna e desconéctase. Despois a sonda falla, así que o script reconéctase e repite, e o túnel oscila mentres cada paso individual parece correcto. Unha proba cuxo resultado depende do túnel non pode decidir á vez se o túnel debería existir.
Decida o valor por defecto e aplíqueo por separado
O caso de rede descoñecida e o caso de cable necesitan respostas explícitas en lugar dun valor herdado. Se o tráfico protexido debe seguir bloqueado mentres o sistema aínda clasifica a rede ou levanta o túnel, iso esixe o seu propio control de aplicación compatible; un disparador de On Demand achega comportamento de conexión, non unha garantía de bloqueo.
Ben escrita, a regra do administrador enuncia a excepción aprobada, as probas que a xustifican e o repliegue deliberado cando esas probas faltan. Recoñecer un nome de Wi-Fi é unha entrada lexítima nesa decisión. Non é a xustificación da decisión, e nunca debería ser a única liña da regra.