Mac VPN On Demand: apa yang sebenarnya dibuktikan kecocokan SSID?
Kecocokan SSID adalah syarat aturan, bukan bukti kepercayaan. Bangun aturan On Demand, pilih nilai bawaan untuk jaringan tak dikenal, dan jaga pemblokiran tetap terpisah.
Menghubungkan VPN di mana-mana kecuali Wi-Fi kantor terdengar seperti kebijakan dua baris, dan bagian sulitnya tidak pernah soal mengenali nama jaringan. Bagian sulitnya adalah memutuskan apa yang boleh dibuktikan oleh nama yang cocok. Titik akses mana pun dapat menyiarkan SSID yang familiar, dan ping yang berhasil ke satu alamat hanya membuktikan bahwa satu probe mendapat jawaban. Tidak ada dari kedua pengamatan itu yang membuktikan bahwa Mac berada di jaringan internal yang terautentikasi.
Nama bukanlah identitas
SSID adalah label yang dipancarkan radio. Itu bukan kunci, sertifikat, atau pernyataan tentang siapa pemilik perangkat kerasnya, dan sebuah tempat acara atau kantor tetangga dapat menyiarkan string yang sama tanpa koordinasi apa pun. Memperlakukan label itu sebagai instruksi untuk mematikan perlindungan menyerahkan keputusan kepada siapa pun yang mengonfigurasi titik akses terdekat.
Uji ping gagal karena alasan yang lebih halus: ia menjawab pertanyaan tentang keterjangkauan, bukan tentang keanggotaan. Target yang merespons mungkin terjangkau dari mana saja, mungkin hanya terjangkau melalui terowongan yang sedang Anda putuskan, atau mungkin portal captive yang mengembalikan sesuatu yang tampak seperti balasan. Keterjangkauan adalah fakta yang berguna dan batas kepercayaan yang buruk.
Bagaimana On Demand mengevaluasi sekumpulan aturan
Model On Demand Apple memasangkan tindakan dengan kondisi jaringan opsional, dan aturan dievaluasi secara berurutan: aturan pertama yang semua kondisinya cocok memberikan tindakannya, dan sisanya tidak diperiksa. Urutan itulah kebijakannya, karena itu aturan yang ditambahkan «untuk berjaga-jaga» dapat diam-diam menulis ulang perilaku yang tadinya berfungsi.
Kondisi SSID merujuk pada jaringan terhubung primer saat ini, bukan pada setiap nama yang terlihat dalam pemindaian. Itu menghasilkan tiga keadaan berbeda, dan merangkumnya menjadi dua adalah kesalahan konfigurasi yang lazim:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Konfigurasikan di tempat kebijakan itu tinggal
Klien VPN yang disetujui atau alur kerja manajemen adalah tempat aturan ini seharusnya berada, dan penyedia yang berbeda mengekspos subset berbeda dari kontrol yang tersedia. Opsi yang hilang di panel itu karena itu berarti klien tidak mengeksposnya, bukan bahwa platform tidak dapat menyatakannya.
Aktivasi otomatis juga memerlukan pengaturan autentikasi yang dapat selesai tanpa manusia, seperti sertifikat atau metode lain yang didukung. Kode sekali pakai yang tersimpan bukanlah pengaturan itu, dan aturan yang menyala saat autentikasi tidak dapat diselesaikan menghasilkan upaya koneksi yang gagal diam-diam di latar belakang.
Dua pola yang layak ditulis ke dalam runbook
Yang pertama adalah nama tiruan. Tempat konferensi, hotel, atau penyewa di gedung yang sama menyiarkan string yang dianggap «di dalam» oleh aturan Anda, dan perlindungan mati tepat di tempat yang paling tidak Anda inginkan. Namanya tidak berbohong; aturannya mengajukan pertanyaan yang tidak dapat dijawabnya.
Yang kedua adalah probe yang mengalahkan dirinya sendiri. Skrip melakukan ping ke alamat privat, melihat respons melalui terowongan, menyimpulkan sudah berada di jaringan internal, lalu memutus koneksi. Probe kemudian gagal, jadi skrip menyambung ulang dan mengulanginya, dan terowongan berayun sementara setiap langkah tampak benar. Uji yang hasilnya bergantung pada terowongan tidak dapat sekaligus memutuskan apakah terowongan itu seharusnya ada.
Putuskan nilai default, lalu tegakkan secara terpisah
Kasus jaringan tidak dikenal dan kasus kabel memerlukan jawaban eksplisit alih-alih default warisan. Jika lalu lintas terlindungi harus tetap diblokir saat sistem masih mengklasifikasikan jaringan atau menaikkan terowongan, itu memerlukan kontrol penegakan tersendiri yang didukung; pemicu On Demand menyediakan perilaku koneksi, bukan jaminan pemblokiran.
Jika ditulis dengan benar, aturan administrator menyatakan pengecualian yang disetujui, bukti yang membenarkannya, dan cadangan yang disengaja ketika bukti itu tidak ada. Mengenali nama Wi-Fi adalah masukan yang sah untuk keputusan itu. Itu bukan pembenaran keputusan tersebut, dan tidak boleh menjadi satu-satunya baris dalam aturan.