Mac VPN On Demand: SSID मिलान वास्तव में क्या सिद्ध करता है?
SSID मिलान नियम की शर्त है, विश्वास का प्रमाण नहीं। On Demand नियम बनाइए, अज्ञात नेटवर्क का डिफ़ॉल्ट चुनिए और अवरोध को अलग रखिए।
दफ़्तर के Wi-Fi को छोड़कर हर जगह VPN जोड़ना दो पंक्तियों की नीति जैसा लगता है, और कठिन हिस्सा कभी नेटवर्क का नाम पहचानना नहीं था। कठिन हिस्सा यह तय करना है कि मिलता हुआ नाम क्या सिद्ध कर सकता है। कोई भी एक्सेस पॉइंट जाना-पहचाना SSID प्रसारित कर सकता है, और एक पते पर सफल ping केवल यह सिद्ध करता है कि एक जाँच को उत्तर मिला। इनमें से कोई भी अवलोकन यह स्थापित नहीं करता कि Mac किसी प्रमाणित आंतरिक नेटवर्क पर है।
नाम पहचान नहीं है
SSID एक लेबल है जो रेडियो प्रसारित करता है। यह कुंजी, प्रमाणपत्र या हार्डवेयर के स्वामित्व का बयान नहीं है, और कोई आयोजन स्थल या पड़ोसी दफ़्तर बिना किसी समन्वय के वही स्ट्रिंग प्रसारित कर सकता है। लेबल को सुरक्षा बंद करने का निर्देश मानना निर्णय उसी को सौंप देता है जिसने निकटतम एक्सेस पॉइंट कॉन्फ़िगर किया।
Ping परीक्षण अधिक सूक्ष्म कारण से विफल होता है: यह पहुँच के बारे में प्रश्न का उत्तर देता है, सदस्यता के बारे में नहीं। उत्तर देने वाला लक्ष्य कहीं से भी पहुँच योग्य हो सकता है, केवल उसी टनल से पहुँच योग्य हो सकता है जिसके बारे में आप निर्णय लेना चाहते हैं, या कैप्टिव पोर्टल हो सकता है जो उत्तर जैसा कुछ लौटाता है। पहुँच एक उपयोगी तथ्य है और खराब विश्वास सीमा है।
On Demand नियम-समूह का मूल्यांकन कैसे करता है
Apple का On Demand मॉडल किसी क्रिया को वैकल्पिक नेटवर्क शर्तों के साथ जोड़ता है, और नियम क्रम से मूल्यांकित होते हैं: जिस पहले नियम की सभी शर्तें मेल खाती हैं वही क्रिया देता है, और बाकी की जाँच नहीं होती। यही क्रम नीति है, इसलिए «ज़रूरत पड़े तो» जोड़ा गया नियम चुपचाप उस व्यवहार को फिर से लिख सकता है जो काम कर रहा था।
SSID शर्त वर्तमान प्राथमिक जुड़े नेटवर्क को संदर्भित करती है, स्कैन में दिखने वाले हर नाम को नहीं। इससे तीन अलग अवस्थाएँ बनती हैं, और उन्हें दो में सिमटाना सामान्य कॉन्फ़िगरेशन गलती है:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
इसे वहीं कॉन्फ़िगर करें जहाँ नीति रहती है
स्वीकृत VPN क्लाइंट या प्रबंधन कार्यप्रवाह वह जगह है जहाँ यह नियम रखा जाना चाहिए, और अलग-अलग प्रदाता उपलब्ध नियंत्रणों के अलग-अलग उपसमूह खोलते हैं। इसलिए उस पैनल में अनुपस्थित विकल्प का अर्थ है कि क्लाइंट ने उसे नहीं खोला, यह नहीं कि प्लेटफ़ॉर्म उसे व्यक्त नहीं कर सकता।
स्वचालित सक्रियण के लिए ऐसी प्रमाणीकरण व्यवस्था भी चाहिए जो बिना मनुष्य के पूरी हो सके, जैसे प्रमाणपत्र या कोई अन्य समर्थित विधि। संग्रहीत एकबारगी कोड वह व्यवस्था नहीं है, और जो नियम तब सक्रिय होता है जब प्रमाणीकरण पूरा नहीं हो सकता, वह पृष्ठभूमि में चुपचाप विफल होने वाला कनेक्शन प्रयास पैदा करता है।
runbook में लिखने योग्य दो पैटर्न
पहला नकली नाम है। कोई सम्मेलन स्थल, होटल या उसी भवन का किराएदार वह स्ट्रिंग प्रसारित करता है जिसे आपका नियम «अंदर» मानता है, और सुरक्षा ठीक वहाँ बंद हो जाती है जहाँ आप उसे सबसे कम चाहते हैं। नाम ने झूठ नहीं बोला; नियम ने उससे ऐसा प्रश्न पूछा जिसका वह उत्तर नहीं दे सकता।
दूसरा स्वयं-पराजित जाँच है। एक स्क्रिप्ट निजी पते पर ping करती है, टनल से उत्तर देखती है, निष्कर्ष निकालती है कि वह पहले से आंतरिक नेटवर्क पर है और डिस्कनेक्ट कर देती है। फिर जाँच विफल होती है, इसलिए स्क्रिप्ट फिर जुड़ती और दोहराती है, और टनल दोलन करता है जबकि हर अलग कदम सही दिखता है। जिस परीक्षण का परिणाम टनल पर निर्भर है, वह यह भी तय नहीं कर सकता कि टनल होना चाहिए या नहीं।
डिफ़ॉल्ट तय करें, फिर अलग से लागू करें
अज्ञात नेटवर्क का मामला और केबल का मामला विरासत में मिले डिफ़ॉल्ट के बजाय स्पष्ट उत्तर मांगते हैं। यदि सिस्टम अभी भी नेटवर्क का वर्गीकरण कर रहा हो या टनल ऊपर उठा रहा हो, तब संरक्षित ट्रैफ़िक अवरुद्ध रहना चाहिए, तो इसके लिए अपना समर्थित प्रवर्तन नियंत्रण चाहिए; On Demand ट्रिगर कनेक्शन व्यवहार देता है, अवरोध की गारंटी नहीं।
ठीक से लिखा गया प्रशासक नियम स्वीकृत अपवाद, उसे उचित ठहराने वाले प्रमाण और उन प्रमाणों के अभाव में जानबूझकर पीछे हटना बताता है। Wi-Fi नाम पहचानना उस निर्णय के लिए वैध इनपुट है। यह निर्णय का औचित्य नहीं है, और इसे कभी भी नियम की एकमात्र पंक्ति नहीं होना चाहिए।