Perintah admin Mac VPN: instalasi, ekstensi, atau kebijakan?

Perintah kata sandi dari klien VPN tampak serupa dan memang tidak sama. Empat tindakan berbeda bersembunyi di balik dialog yang mirip: menulis berkas ke lokasi terlindungi saat instalasi, menambah atau mengubah konfigurasi jaringan, mengaktifkan ekstensi sistem yang membawa lalu lintas, dan mematuhi kebijakan yang sudah ditetapkan server manajemen. Masing-masing punya pemilik berbeda, jangkauan dampak berbeda, dan cara berbeda untuk memverifikasi bahwa ia berhasil. Mencocokkan pesan yang Anda lihat dengan salah satu dari empat itu adalah seluruh latihannya.

Tiga persetujuan berbeda tampak sama

Otorisasi penginstal adalah kasus paling sederhana: paket menulis ke direktori yang tidak dapat diubah pengguna biasa, dan macOS meminta kredensial administrator untuk mengizinkannya. Sistem tidak memutuskan apakah perangkat lunak itu aman; ia memutuskan apakah Anda boleh menulis di sana. Itu juga sebabnya paket bisa terpasang bersih namun tetap tidak berguna: persetujuan instalasi tidak mengatakan apa pun tentang apakah kode akan diizinkan berjalan setelahnya. Setelah terpasang, aplikasi mungkin masih butuh persetujuan kedua sebelum dapat memengaruhi jaringan.

Otorisasi konfigurasi jaringan mencakup perubahan pada daftar koneksi sistem. Menambah layanan VPN, atau mengubah pengaturan yang dikonfigurasi administrator jaringan, memerlukan peningkatan hak karena definisi itu memengaruhi setiap akun di mesin. Persetujuan ini memberi wewenang konfigurasi, bukan wewenang lalu lintas.

Persetujuan ekstensi adalah yang penting bagi cara paket berpindah. Klien modern memasang ekstensi sistem yang dimuat macOS ke dalam sistem, dan macOS menuntut keputusan tegas di Privasi dan Keamanan atau Item Masuk dan Ekstensi sebelum mengaktifkannya. Kasus keempat adalah Mac terkelola, tempat kebijakan sudah menyetujui ekstensi lebih dahulu dan pengguna tidak melihat dialog sama sekali.

Apa yang sebenarnya diubah tiap persetujuan

Penginstal mengubah berkas di disk, dan konsekuensinya berakhir saat berkas dihapus, kecuali sisa-sisanya. Konfigurasi jaringan menambah definisi layanan yang muncul di daftar koneksi dan dapat diaktifkan ulang oleh aturan sesuai permintaan. Persetujuan ekstensi mengubah kode apa yang akan dimuat dan dijaga tetap berjalan oleh sistem, karena itu ia bertahan setelah aplikasi visual dicopot dalam beberapa alur kerja. Menghapus bundel aplikasi tidak selalu menghapus ekstensinya, dan ekstensi yang tertinggal tetap memegang hak istimewa jaringannya.

Perbedaan itu memprediksi gejalanya. Terpasang tetapi tidak pernah terhubung biasanya berarti ekstensi tidak disetujui di mana pun; terhubung tetapi pengaturannya kembali pada perubahan berikutnya biasanya berarti kebijakan manajemen yang memiliki definisi itu.

Tanda tangan dan penerbit menentukan jawabannya

Sebelum menyetujui, bacalah siapa yang menandatangani hal itu, bukan apa yang disiratkan ikon dialog. Dua pemeriksaan lokal cukup untuk melihat otoritas penandatanganan dan apakah penilaian sistem lolos di mesin ini.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Bundel tanpa tanda tangan atau tanpa notarisasi tidak otomatis berbahaya, tetapi ia layak mendapat keputusan berbeda daripada bundel bertanda tangan dari vendor yang Anda maksud. Paket yang datang lewat pesan, bukan dari situs vendor sendiri, adalah kasus ketika jawabannya sederhana: tidak.

Bandingkan pengenal tim dengan identitas terbitan vendor, bukan mempercayai nama tampilan aplikasi, karena nama mudah dipakai ulang sedangkan pengenal tidak. Jika vendor menerbitkan pengenal itu di panduan instalasinya, halaman tersebut adalah acuan perbandingan dan juga tempat ketidakcocokan seharusnya dilaporkan. Klien dari penjual ulang, build yang dikemas ulang, atau salinan portabel dari forum layak dicurigai lebih daripada unduhan bertanda tangan vendor yang sama.

Ketika kebijakan memiliki keputusan

Di Mac korporat, administrator mungkin sudah memutuskan. Profil manajemen dapat mengirimkan definisi VPN, menyetujui ekstensi lebih dahulu, dan mengunci koneksi sehingga tidak dapat dihapus. Dalam susunan itu, permintaan memasukkan kata sandi sering kali merupakan permintaan untuk mengesampingkan keputusan yang tidak pernah menjadi milik Anda.

Menurunkan keamanan penyalaan atau melepas manajemen untuk memaksa instalasi mengubah model ancaman mesin secara permanen demi menyelesaikan masalah sementara. Pertukaran itu jarang dilakukan dengan sadar; biasanya terjadi saat mengikuti unggahan forum. Mintalah jalur yang didukung kepada administrator, yang mungkin sesederhana mengirim ulang profil atau menyetujui ekstensi di sisi server. Jika administrator tidak dapat menyetujuinya, jawaban itu adalah temuannya, bukan rintangan yang harus diakali.

Pastikan keadaan setelah menyetujui

Setelah persetujuan yang sah diberikan, verifikasi apa yang dianggap sistem, bukan apa yang diklaim klien. Daftar ekstensi melaporkan keadaan aktivasi tanpa perlu alat pihak ketiga.

systemextensionsctl list

Entri yang tampil sebagai aktif termasuk pengenal tim yang Anda periksa tadi; entri yang tampil sebagai dihentikan sambil menunggu persetujuan pengguna menjelaskan klien yang mulai berjalan dan tidak pernah membawa lalu lintas. Jika perintah muncul kembali setelah setiap percobaan, catat pesan persisnya dan versi klien, karena persetujuan yang berulang biasanya berarti ekstensi sedang diganti tanpa yang sebelumnya dinonaktifkan, dan itu kasus dukungan, bukan masalah kata sandi. Catat versinya sebelum menghubungi dukungan, karena perbaikannya mungkin sudah ada di build yang lebih baru dan percakapan akan dimulai dari sana.