Mac VPN On Demand: mit bizonyít valójában egy SSID-egyezés?
Az SSID-egyezés szabályfeltétel, nem a bizalom bizonyítéka. Építse fel az On Demand szabályt, válassza ki az ismeretlen hálózat alapértékét, és tartsa külön a blokkolást.
A VPN mindenhol való csatlakoztatása az irodai Wi-Fi kivételével két soros szabályzatnak hangzik, és a nehéz rész soha nem a hálózatnév felismerése volt. A nehéz rész eldönteni, hogy egy egyező név mit bizonyíthat. Bármely hozzáférési pont sugározhat ismerős SSID-t, és egy címre mért sikeres ping csak azt bizonyítja, hogy egyetlen próba választ kapott. Egyik megfigyelés sem bizonyítja, hogy a Mac hitelesített belső hálózaton van.
A név nem azonosság
Az SSID egy címke, amelyet a rádió sugároz. Nem kulcs, tanúsítvány vagy nyilatkozat arról, kié a hardver, és egy rendezvényhelyszín vagy egy szomszédos iroda ugyanazt a karakterláncot sugározhatja mindenféle egyeztetés nélkül. Ha a címkét a védelem kikapcsolására adott utasításként kezeljük, a döntés ahhoz kerül, aki a legközelebbi hozzáférési pontot beállította.
A ping-teszt finomabb okból vall kudarcot: az elérhetőségre vonatkozó kérdésre válaszol, nem a tagságra. Egy válaszoló cél elérhető lehet bárhonnan, elérhető lehet csak azon az alagúton keresztül, amelyről dönteni próbál, vagy lehet olyan captive portál, amely válasznak látszó dolgot ad vissza. Az elérhetőség hasznos tény és rossz bizalmi határ.
Hogyan értékeli az On Demand a szabálykészletet
Az Apple On Demand modellje egy műveletet opcionális hálózati feltételekkel párosít, és a szabályok sorrendben értékelődnek: az első szabály, amelynek minden feltétele egyezik, adja a műveletet, a többi pedig nem kerül megvizsgálásra. Ez a sorrend a szabályzat, ezért egy «biztos, ami biztos» alapon hozzáadott szabály csendben átírhat egy működő viselkedést.
Az SSID feltétel a jelenlegi elsődleges csatlakozott hálózatra vonatkozik, nem minden beolvasáskor látható névre. Ez három különböző állapotot ad, és ezek kettőre való összevonása a szokásos konfigurációs hiba:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Ott konfigurálja, ahol a szabályzat lakik
Jóváhagyott VPN-kliens vagy felügyeleti munkafolyamat az a hely, ahova ez a szabály tartozik, és a különböző szolgáltatók az elérhető vezérlők különböző részhalmazait teszik elérhetővé. Egy hiányzó beállítás abban a panelben ezért azt jelenti, hogy a kliens nem tette elérhetővé, nem azt, hogy a platform nem tudja kifejezni.
Az automatikus aktiváláshoz olyan hitelesítési megoldás is kell, amely ember nélkül is befejeződhet, például tanúsítvány vagy más támogatott módszer. Egy tárolt egyszeri kód nem ez a megoldás, és az a szabály, amely akkor lép életbe, amikor a hitelesítés nem tud befejeződni, csendben meghiúsuló kapcsolódási kísérletet hoz létre a háttérben.
Két minta, amelyet érdemes a runbookba írni
Az első az utánzott név. Egy konferenciahelyszín, egy szálloda vagy egy szomszédos bérlő sugározza azt a karakterláncot, amelyet a szabálya «belsőnek» tekint, és a védelem pontosan ott kapcsol ki, ahol a legkevésbé szeretné. A név nem hazudott; a szabály olyan kérdést tett fel neki, amelyre nem tud válaszolni.
A második az önmagát meghiúsító próba. Egy szkript pingel egy privát címet, választ lát az alagúton keresztül, arra jut, hogy már a belső hálózaton van, és bontja a kapcsolatot. A próba ekkor meghiúsul, ezért a szkript újracsatlakozik és ismétel, és az alagút rezeg, miközben minden egyes lépés helyesnek tűnik. Egy teszt, amelynek eredménye az alagúttól függ, nem döntheti el egyszerre azt is, hogy léteznie kell-e az alagútnak.
Döntse el az alapértéket, és külön kényszerítse ki
Az ismeretlen hálózat esete és a kábeles eset kifejezett válaszokat igényel örökölt alapérték helyett. Ha a védett forgalomnak blokkolva kell maradnia, miközben a rendszer még osztályozza a hálózatot vagy felhozza az alagutat, ahhoz saját támogatott kényszerítő vezérlés kell; az On Demand kiváltó kapcsolódási viselkedést ad, nem blokkolási garanciát.
Helyesen megírva a rendszergazdai szabály kimondja a jóváhagyott kivételt, az azt igazoló bizonyítékokat és a szándékos visszaesést, amikor ezek a bizonyítékok hiányoznak. A Wi-Fi-név felismerése jogos bemenet ehhez a döntéshez. Ez nem a döntés indoklása, és soha nem szabad a szabály egyetlen sorának lennie.