Mac VPN administratorski upit: instalacija, proširenje ili pravilo?

Upiti za lozinku VPN klijenta izgledaju jednako, a nisu. Četiri različite radnje skrivaju se iza sličnog dijaloga: pisanje datoteka na zaštićeno mjesto tijekom instalacije, dodavanje ili mijenjanje mrežne konfiguracije, aktiviranje sistemskog proširenja koje prenosi promet i udovoljavanje pravilu koje je poslužitelj za upravljanje već postavio. Svaka ima drukčijeg vlasnika, drukčiji doseg i drukčiji način provjere je li uspjela. Uparivanje poruke koju vidite s jednom od te četiri jest cijela vježba.

Tri različita odobrenja izgledaju isto

Autorizacija instalatera najjednostavniji je slučaj: paket piše u mape koje obični korisnik ne može mijenjati, pa macOS traži administratorske podatke da to dopusti. Sustav ne odlučuje je li softver siguran; odlučuje smijete li ondje pisati. Zato se paket može čisto instalirati i ipak biti beskoristan: odobrenje instalacije ne govori ništa o tome hoće li se kodu dopustiti izvođenje poslije. Nakon instalacije aplikacija može trebati drugo odobrenje prije nego što utječe na mrežu.

Autorizacija mrežne konfiguracije pokriva promjene na popisu veza sustava. Dodavanje VPN usluge ili mijenjanje postavki koje je postavio mrežni administrator zahtijeva povišenje jer te definicije utječu na svaki račun na računalu. Ovo odobrenje daje ovlast nad konfiguracijom, ne ovlast nad prometom.

Odobrenje proširenja ono je koje je važno za to kako paketi putuju. Suvremeni klijent instalira sistemsko proširenje koje macOS učitava u sustav, a macOS prije aktivacije traži izričitu odluku u Privatnost i sigurnost ili u Stavke prijave i proširenja. Četvrti je slučaj upravljani Mac, gdje pravilo već unaprijed odobrava proširenje i korisnik uopće ne vidi dijalog.

Što svako odobrenje stvarno mijenja

Instalater mijenja datoteke na disku i njegove posljedice prestaju kad se datoteke uklone, osim ostataka. Mrežna konfiguracija dodaje definiciju usluge koja se pojavljuje na popisu veza i može se ponovno aktivirati pravilima na zahtjev. Odobrenje proširenja mijenja koji će kod sustav učitati i zadržati u radu, zato ono preživljava deinstalaciju vizualne aplikacije u nekim tijekovima rada. Uklanjanje aplikacijskog paketa ne uklanja uvijek njegovo proširenje, a zaostalo proširenje zadržava svoje mrežne povlastice.

Ta razlika predviđa simptom. Instalirano ali nikad povezano obično znači da proširenje nije nigdje odobreno; povezano ali s postavkama koje se vraćaju pri sljedećoj promjeni obično znači da definicijom upravlja pravilo upravljanja.

Potpis i izdavač odlučuju odgovor

Prije odobrenja pročitajte tko je to potpisao, a ne što ikona dijaloga sugerira. Dvije lokalne provjere dovoljne su da vidite potpisno tijelo i prolazi li procjena sustava na ovom računalu.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Nepotpisan ili nenotariziran paket nije automatski zlonamjeran, ali zaslužuje drukčiju odluku od potpisanog paketa dobavljača kojeg ste namjeravali. Paket koji je stigao porukom umjesto s dobavljačeva vlastitog mjesta slučaj je u kojem je odgovor jednostavno ne.

Usporedite identifikator tima s objavljenim identitetom dobavljača umjesto da vjerujete prikaznom imenu aplikacije, jer su imena laka za ponovnu upotrebu, a identifikatori nisu. Ako dobavljač objavljuje identifikator u svojem vodiču za instalaciju, ta je stranica referenca za usporedbu i ujedno mjesto gdje nepodudarnost treba prijaviti. Klijent od preprodavača, prepakirana gradnja ili prijenosna kopija s foruma zaslužuje više sumnje od potpisanog preuzimanja istog dobavljača.

Kada pravilom upravlja odluka

Na korporativnom Macu administrator je možda već odlučio. Profil upravljanja može dostaviti VPN definiciju, unaprijed odobriti proširenje i zaključati vezu tako da se ne može ukloniti. U takvu rasporedu zahtjev za unos lozinke često je zahtjev da se nadjača odluka koja nikada nije bila vaša.

Snižavanje sigurnosti pokretanja ili odvajanje upravljanja da bi se instalacija forsirala trajno mijenja model prijetnji računala da bi se riješio privremen problem. Ta se zamjena rijetko čini svjesno; obično se dogodi dok se slijedi forumska objava. Umjesto toga pitajte administratora za podržan put, koji može biti jednostavan kao ponovno slanje profila ili odobravanje proširenja na poslužitelju. Ako ga administrator ne može odobriti, taj je odgovor nalaz, a ne prepreka koju treba obilaziti.

Potvrdite stanje nakon odobrenja

Nakon što je dano ovlašteno odobrenje, provjerite što sustav misli, a ne što klijent tvrdi. Popis proširenja izvješćuje o stanju aktivacije bez ikakva alata treće strane.

systemextensionsctl list

Zapis prikazan kao aktiviran pripada identifikatoru tima koji ste prije provjerili; zapis prikazan kao okončan dok čeka korisničko odobrenje objašnjava klijent koji se pokreće i nikad ne prenosi promet. Ako se upit vraća nakon svakog pokušaja, zabilježite točnu poruku i verziju klijenta, jer ponavljajuće odobrenje obično znači da se proširenje zamjenjuje bez deaktivacije prethodnoga, a to je slučaj za podršku, ne problem lozinke. Zabilježite verziju prije poziva podršci, jer popravak možda već postoji u novijoj gradnji i razgovor će početi ondje.