Mac-VPN एडमिन प्रॉम्प्ट: इंस्टॉलेशन, एक्सटेंशन या नीति?

VPN क्लाइंट के पासवर्ड प्रॉम्प्ट एक जैसे दिखते हैं और होते नहीं। एक जैसे संवाद के पीछे चार अलग क्रियाएँ छिपी होती हैं: इंस्टॉलेशन के दौरान संरक्षित जगह पर फ़ाइलें लिखना, नेटवर्क कॉन्फ़िगरेशन जोड़ना या बदलना, ट्रैफ़िक ले जाने वाले सिस्टम एक्सटेंशन को सक्रिय करना, और प्रबंधन सर्वर द्वारा पहले से तय नीति का पालन करना। हर एक का मालिक अलग, असर का दायरा अलग और यह जाँचने का तरीका अलग है कि वह काम कर गया। आप जो संदेश देखते हैं उसे इन चार में से एक से मिलाना ही पूरा अभ्यास है।

तीन अलग मंज़ूरियाँ एक जैसी दिखती हैं

इंस्टॉलर प्राधिकरण सबसे सरल मामला है: पैकेज ऐसी निर्देशिकाओं में लिखता है जिन्हें सामान्य उपयोगकर्ता बदल नहीं सकता, और macOS इसे अनुमति देने के लिए एडमिनिस्ट्रेटर क्रेडेंशियल माँगता है। सिस्टम यह तय नहीं कर रहा कि सॉफ़्टवेयर सुरक्षित है या नहीं; वह यह तय कर रहा है कि आप वहाँ लिख सकते हैं या नहीं। इसी कारण पैकेज साफ़-सुथरा इंस्टॉल होकर भी बेकार रह सकता है: इंस्टॉलेशन मंज़ूरी इस बारे में कुछ नहीं कहती कि कोड को बाद में चलने की अनुमति मिलेगी या नहीं। इंस्टॉल होने के बाद भी ऐप को नेटवर्किंग पर असर डालने से पहले दूसरी मंज़ूरी की ज़रूरत पड़ सकती है।

नेटवर्क कॉन्फ़िगरेशन प्राधिकरण सिस्टम की कनेक्शन सूची में बदलावों को कवर करता है। VPN सेवा जोड़ना, या नेटवर्क एडमिनिस्ट्रेटर द्वारा सेट की गई सेटिंग्स बदलना, एलिवेशन माँगता है क्योंकि वे परिभाषाएँ मशीन के हर खाते को प्रभावित करती हैं। यह मंज़ूरी कॉन्फ़िगरेशन अधिकार देती है, ट्रैफ़िक अधिकार नहीं।

एक्सटेंशन मंज़ूरी वह है जो इस बात के लिए मायने रखती है कि पैकेट कैसे यात्रा करते हैं। आधुनिक क्लाइंट एक सिस्टम एक्सटेंशन इंस्टॉल करता है जिसे macOS सिस्टम में लोड करता है, और इसे सक्रिय करने से पहले macOS गोपनीयता और सुरक्षा या लॉगिन आइटम और एक्सटेंशन में स्पष्ट निर्णय माँगता है। चौथा मामला प्रबंधित Mac है, जहाँ नीति पहले ही एक्सटेंशन को मंज़ूर कर देती है और उपयोगकर्ता को कोई संवाद दिखता ही नहीं।

हर मंज़ूरी वास्तव में क्या बदलती है

इंस्टॉलर डिस्क पर फ़ाइलें बदलता है, और बचे अवशेषों को छोड़कर फ़ाइलें हटने पर उसके परिणाम खत्म हो जाते हैं। नेटवर्क कॉन्फ़िगरेशन एक सेवा परिभाषा जोड़ता है जो कनेक्शन सूची में दिखती है और ऑन-डिमांड नियमों से फिर सक्रिय हो सकती है। एक्सटेंशन मंज़ूरी बदलती है कि सिस्टम कौन-सा कोड लोड करेगा और चलाता रहेगा, इसीलिए कुछ वर्कफ़्लो में दृश्य ऐप को अनइंस्टॉल करने के बाद भी वह टिका रहता है। ऐप बंडल हटाने से उसका एक्सटेंशन हमेशा नहीं हटता, और पीछे छूटा एक्सटेंशन अपने नेटवर्किंग विशेषाधिकार बनाए रखता है।

यह भेद लक्षण की भविष्यवाणी करता है। इंस्टॉल है पर कभी कनेक्ट नहीं होता, इसका मतलब आमतौर पर यह है कि एक्सटेंशन कहीं मंज़ूर नहीं है; कनेक्ट होता है पर सेटिंग्स अगले बदलाव पर लौट आती हैं, इसका मतलब आमतौर पर यह है कि प्रबंधन नीति परिभाषा की मालिक है।

हस्ताक्षर और प्रकाशक उत्तर तय करते हैं

मंज़ूर करने से पहले पढ़ें कि चीज़ पर किसने हस्ताक्षर किए, न कि संवाद का आइकन क्या सुझाता है। हस्ताक्षर प्राधिकरण देखने और यह जाँचने के लिए कि इस मशीन पर सिस्टम का मूल्यांकन पास होता है, दो स्थानीय जाँचें पर्याप्त हैं।

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

बिना हस्ताक्षर या बिना नोटराइज़ किया बंडल अपने आप दुर्भावनापूर्ण नहीं होता, पर वह उस विक्रेता के हस्ताक्षरित बंडल से अलग निर्णय का हक़दार है जिसका आपने इरादा किया था। संदेश के ज़रिए आया पैकेज, विक्रेता की अपनी साइट से नहीं, वह मामला है जहाँ उत्तर सीधे ना है।

ऐप के प्रदर्शित नाम पर भरोसा करने के बजाय टीम पहचानकर्ता की तुलना विक्रेता की प्रकाशित पहचान से करें, क्योंकि नाम दोबारा इस्तेमाल करना आसान है और पहचानकर्ता नहीं। यदि विक्रेता अपनी इंस्टॉलेशन गाइड में पहचानकर्ता प्रकाशित करता है, तो वह पृष्ठ तुलना का संदर्भ है और वह जगह भी जहाँ बेमेल की सूचना दी जानी चाहिए। पुनर्विक्रेता, दोबारा पैक किया गया बिल्ड या फ़ोरम से लिया पोर्टेबल कॉपी उसी विक्रेता के हस्ताक्षरित डाउनलोड से अधिक संदेह का हक़दार है।

जब नीति निर्णय की मालिक हो

कॉर्पोरेट Mac पर एडमिनिस्ट्रेटर पहले ही तय कर चुका हो सकता है। प्रबंधन प्रोफ़ाइल VPN परिभाषा दे सकती है, एक्सटेंशन को पहले से मंज़ूर कर सकती है और कनेक्शन को लॉक कर सकती है ताकि उसे हटाया न जा सके। ऐसी व्यवस्था में पासवर्ड डालने का अनुरोध अक्सर ऐसे निर्णय को ओवरराइड करने का अनुरोध होता है जो कभी आपका था ही नहीं।

इंस्टॉलेशन को मजबूर करने के लिए स्टार्टअप सुरक्षा घटाना या प्रबंधन हटाना अस्थायी समस्या हल करने के लिए मशीन का खतरा मॉडल स्थायी रूप से बदल देता है। यह सौदा शायद ही कभी सचेत रूप से किया जाता है; आमतौर पर यह किसी फ़ोरम पोस्ट का पालन करते समय होता है। इसके बजाय एडमिनिस्ट्रेटर से समर्थित रास्ता पूछें, जो प्रोफ़ाइल दोबारा भेजने या सर्वर पक्ष पर एक्सटेंशन मंज़ूर करने जितना सरल हो सकता है। यदि एडमिनिस्ट्रेटर इसे मंज़ूर नहीं कर सकता, तो वही उत्तर निष्कर्ष है, बचने लायक रुकावट नहीं।

मंज़ूरी के बाद स्थिति की पुष्टि करें

अधिकृत मंज़ूरी मिलने के बाद, क्लाइंट जो दावा करता है उसके बजाय सिस्टम जो सोचता है उसकी पुष्टि करें। एक्सटेंशन सूची बिना किसी तृतीय-पक्ष उपकरण के सक्रियण स्थिति बताती है।

systemextensionsctl list

सक्रिय दिखने वाली प्रविष्टि उस टीम पहचानकर्ता की है जिसे आपने पहले जाँचा था; उपयोगकर्ता मंज़ूरी की प्रतीक्षा में समाप्त दिखने वाली प्रविष्टि ऐसे क्लाइंट को समझाती है जो शुरू होता है और कभी ट्रैफ़िक नहीं ले जाता। यदि हर प्रयास के बाद प्रॉम्प्ट लौट आता है, तो सटीक संदेश और क्लाइंट संस्करण दर्ज करें, क्योंकि दोहराई जाने वाली मंज़ूरी का मतलब आमतौर पर यह है कि पिछले एक्सटेंशन को निष्क्रिय किए बिना उसे बदला जा रहा है, और यह पासवर्ड समस्या नहीं बल्कि सहायता मामला है। सहायता बुलाने से पहले संस्करण नोट करें, क्योंकि सुधार नए बिल्ड में पहले से हो सकता है और बातचीत वहीं से शुरू होगी।