VPN macOS-ում մուտքից առաջ. ապակողպում, մուտքի պատուհան, սեսիա
FileVault-ի ապակողպումը, մուտքի պատուհանը և օգտվողի սեսիան առանձին փուլեր են: Մուտքի պահին սկսվող աշխատասեղանի հաճախորդը լուծում է միայն դրանցից վերջինը:
Ահա մի համոզմունք, որն արժենում է մարդկանց մեկ շաբաթ. որ Mac-ն ունի մեկ պահ, որը կոչվում է մուտքից առաջ, և որ VPN հաճախորդը կամ սկսվում է այդ պահին, կամ ոչ: Իրականում սարքն ունի առնվազն երեք պահ, երբ ցանցային հասանելիությունը կարևոր է, և դրանք բաժանում է այն, թե ով իրավունք ունի այդ պահին պահել հավատարմագրեր: Մուտքի տարրից սկսված հաճախորդը ծածկում է դրանցից ուղիղ մեկը, և դա վերջինն է:
Այն միֆը, որ մեկ կարգավորում ծածկում է ամբողջ բեռնումը
Կրկին կարդացեք ապրանքի էջը և նայեք, թե որ փուլն է անվանում գործառույթը: Սկսել մուտքի պահին պիտակով վանդակը նշանակում է մուտքի տարր, որը աշխատում է օգտվողի սեսիայի գոյությունից հետո: Միանալ ըստ պահանջի պիտակով վանդակը նշանակում է, որ հաճախորդը բացում է կապ, երբ երթևեկությունը համապատասխանում է կանոնին, ինչը դեռ պահանջում է, որ հաճախորդն ու նրա հավատարմագրերը հասանելի լինեն:
Դրանցից ոչ մեկը չի հասնում բեռնման գործընթացին: Սա այն սահմանափակումը չէ, որը մատակարարը մոռացել է հեռացնել. սա այն է, ինչ թույլատրում է օպերացիոն համակարգը: Մինչև ծավալի ապակողպումը չկա աշխատող համակարգ, որտեղից կարելի է սկսել հաճախորդ, իսկ դուրս գալուց հետո օգտվողի գաղտնիքները հեռանում են սեսիայի հետ: Երկու առանձին պատեր, և ոչ մեկը չի զիջում մեկ այլ վանդակի:
Հենց որ բաժանեք փուլերը, սկզբնական հարցը փոխում է ձևը: Փոխանակ հարցնելու, թե արդյոք VPN-ը սկսվում է մուտքից առաջ, դուք հարցնում եք, թե երեք կոնկրետ պահերից որն է պետք աշխատի, և հետո հայտնաբերում եք, որ յուրաքանչյուրն ունի այլ տեր` գաղտնագրման շերտը, ցանցային ընդլայնումը կամ օգտվողի սեսիան:
Ինչ է իրականում տեղի ունենում յուրաքանչյուր փուլում
Բեռնումը սկսվում է գաղտնագրված ծավալով, որը պետք է ապակողպել նախքան որևէ ընդհանուր աշխատանքի համար պիտանի համակարգի գոյությունը: Այդ ապակողպումը տեղի է ունենում սահմանափակ համատեքստում` սահմանափակ հավատարմագրերի հավաքածուով, և Apple-ը հստակ փաստագրում է, որ գաղտնագրված տվյալները մնում են անհասանելի առանց վավեր ապակողպման:
Հետո գալիս է մուտքի պատուհանը, որտեղ համակարգը աշխատում է, բայց օգտվողի սեսիա դեռ չկա: Օգտվողի համատեքստի ընդլայնումն արդեն ավարտվել է, եթե օգտվողը դուրս է եկել, և գլոբալ համակարգային ընդլայնումը կարող է դեռ աշխատել, բայց աշխատելը նույնը չէ, ինչ ձեր VPN-ին անհրաժեշտ հավատարմագրերը պահելը:
Այնուհետև գալիս է սեսիան, որտեղ սովորական հաճախորդը կարող է կարդալ մուտքի բանալիների շղթան, պահանջել երկրորդ գործոն և կիրառել ուղարկված երթուղիները: Մարդկանց կողմից մուտքից առաջ նկարագրվող գործառույթների մեծ մասը իրականում այս փուլն է, որը գործարկվում է սեսիայի սկզբում, ոչ թե դրանից առաջ:
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
Ինչու launch daemon-ը չի կարող մուտք գործել բացական օգտվողի փոխարեն
Բարձրացված լիազորությունը թվում է, թե պետք է լուծի խնդիրը, և այն չի լուծում: launch daemon-ը աշխատում է որպես համակարգային գործընթաց` առանց օգտվողի սեսիայի, ուստի ապակողպելու բանալիների շղթա չկա և մարդ չկա, որը կպատասխանի հարցմանը: Այն կարող է բացել socket և կարդալ ֆայլ. ինչ չի կարող, այն է` դառնալ այն օգտվողը, որին պատկանում են հավատարմագրերը: Լիազորությունը ինքնություն չէ, և հենց այստեղ են երկուսը շփոթվում:
Այն, ինչ մարդիկ կառուցում են այդ բացվածքում, գաղտնաբառ պարունակող սկրիպտ է, ինչը ավելի վատ խնդիր է, քան այն, որով սկսել էին:
Պահանջի ազնիվ տարբերակն ավելի նեղ է: Եթե սարքը պետք է հասնի պաշտպանված ռեսուրսի, երբ ոչ ոք ներկա չէ, ապա այն ինքնությունը, որը ընդունում է այդ ռեսուրսը, պետք է լինի այնպիսին, որը սարքը կարող է պահել առանց մարդու` սարքի վկայագիր, հավատարմագիր համակարգի բանալիների շղթայում կամ հաշիվ, որի երկրորդ գործոնը ինչ-որ մեկի գրպանի հեռախոսին ուղարկվող ծանուցում չէ: Նախագծեք այդ ինքնությունը գիտակցաբար, և փուլի հարցը սովորաբար ինքն է պատասխանում:
Windows-ի մուտքից առաջ գործառույթը չի փոխանցվում
Windows-ն ունի փաստագրված մուտքից առաջ հասանելիության մեխանիզմ որոշ հեռավար հասանելիության ապրանքների համար, և անունը ավելի լավ է ճամփորդում, քան կարողությունը: Windows-ի տեղադրման ուղեցույցում նկարագրված գործառույթը ոչինչ չի ասում այն մասին, թե արդյոք նույն մատակարարը համարժեք է իրականացնում macOS-ում:
Պահանջեք հայտարարություն, որը ծածկում է Mac-ի ապարատը, macOS-ի թողարկումը, հաճախորդի տարբերակը և ձեր իրականում օգտագործած նույնականացման մեթոդը: Ընդհանուր աջակցության պնդումը բավարար չէ, քանի որ աշխատող և չաշխատող տարբերությունը հաճախ այդ չորսից մեկում է:
Եթե մատակարարը չի կարող պատասխանել, դա է պատասխանը: Պլանավորեք սեսիայի փուլը և նախագծեք այլընտրանք առանց հսկողության դեպքի համար, փոխանակ տեղադրման ընթացքում բացվածքը հայտնաբերելու:
Ինչ պահանջել փոխարենը
Գրեք պահանջը փուլերի լեզվով: Որ ռեսուրսը, ում է պետք, ինչ համատեքստում և ինչ ընդունելի ուշացումով, երբ կապը դեռ չկա:
Եթե պատասխանը օգտվողն է, որը մուտք է գործում և հետո թունելի կարիք ունի, ապա ըստ պահանջի միացումը և մեկնարկային տարրը բավարար են և էժան: Եթե պատասխանը սարքն է, որը գիշերը վերագործարկվում է և պետք է հաշվետվություն տա, նախագծին անհրաժեշտ են աջակցվող սկավառակի ապակողպման ուղի, սարքի ինքնություն և վերականգնման գործընթաց, որն աշխատում է, երբ ցանցը երբեք չի բարձրանում: Եթե պատասխանը թունելից կախված կազմակերպության մուտքն է, ապա մուտքի, ինքնության և VPN-ի նախագծերը պետք է կառուցվեն միասին, ոչ թե առանձին գնվեն:
Apple-ի FileVault փաստաթղթերը ապակողպման փուլի ճիշտ մեկնարկային կետն են: Ամեն ինչ դրանից հետո հաճախորդի և ինքնության հարց է, որը մատակարարի հայտարարությունը պետք է լուծի գնումից առաջ: