Prompt amministratore VPN su Mac: installazione, estensione o criterio?

Le richieste di password di un client VPN sembrano intercambiabili e non lo sono. Quattro azioni distinte si nascondono dietro una finestra simile: scrivere file in una posizione protetta durante l'installazione, aggiungere o modificare una configurazione di rete, attivare un'estensione di sistema che trasporta traffico, e rispettare un criterio già impostato da un server di gestione. Ognuna ha un proprietario diverso, un raggio d'azione diverso e un modo diverso di verificare che abbia funzionato. Abbinare il messaggio che vedi a una di quelle quattro è l'intero esercizio.

Tre approvazioni diverse sembrano uguali

L'autorizzazione del programma di installazione è il caso più semplice: un pacchetto scrive in cartelle che un utente standard non può modificare, e macOS chiede credenziali di amministratore per consentirlo. Il sistema non decide se il software è sicuro; decide se puoi scrivere lì. È anche per questo che un pacchetto può installarsi in modo pulito e restare inutile: l'approvazione dell'installazione non dice nulla sulla possibilità che il codice venga eseguito dopo. Una volta installata, l'app può ancora aver bisogno di una seconda approvazione prima di poter influire sulla rete.

L'autorizzazione della configurazione di rete copre le modifiche all'elenco delle connessioni del sistema. Aggiungere un servizio VPN, o modificare impostazioni configurate da un amministratore di rete, richiede l'elevazione perché quelle definizioni riguardano ogni account della macchina. Questa approvazione concede autorità sulla configurazione, non autorità sul traffico.

L'approvazione dell'estensione è quella che conta per come viaggiano i pacchetti. Un client moderno installa un'estensione di sistema che macOS carica nel sistema, e macOS richiede una decisione esplicita in Privacy e sicurezza o in Elementi di login ed estensioni prima di attivarla. Un quarto caso è un Mac gestito, dove un criterio preapprova l'estensione e l'utente non vede alcuna finestra.

Che cosa cambia davvero ogni approvazione

Il programma di installazione cambia file sul disco, e le sue conseguenze finiscono quando i file vengono rimossi, a parte i residui. Una configurazione di rete aggiunge una definizione di servizio che appare nell'elenco delle connessioni e può essere riattivata da regole su richiesta. L'approvazione di un'estensione cambia quale codice il sistema caricherà e manterrà in esecuzione, ed è per questo che sopravvive alla disinstallazione dell'applicazione visibile in alcuni flussi di lavoro. Rimuovere un bundle applicativo non sempre rimuove la sua estensione, e un'estensione lasciata indietro conserva i suoi privilegi di rete.

La distinzione prevede il sintomo. Installato ma mai collegato di solito significa che l'estensione non è approvata da nessuna parte; collegato ma con impostazioni che tornano alla modifica successiva di solito significa che un criterio di gestione possiede la definizione.

Firma ed editore decidono la risposta

Prima di approvare, leggi chi ha firmato la cosa invece di ciò che suggerisce l'icona della finestra. Due controlli locali bastano per vedere l'autorità di firma e se la valutazione del sistema passa su questa macchina.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Un bundle non firmato o non notarizzato non è automaticamente dannoso, ma merita una decisione diversa da uno firmato dall'editore che intendevi. Un pacchetto arrivato tramite un messaggio invece che dal sito dell'editore è il caso in cui la risposta è semplicemente no.

Confronta l'identificatore del team con l'identità pubblicata dall'editore invece di fidarti del nome visualizzato dell'app, perché i nomi sono facili da riutilizzare e gli identificatori no. Se l'editore pubblica l'identificatore nella sua guida all'installazione, quella pagina è il riferimento per il confronto e anche il luogo in cui segnalare una discrepanza. Un client da un rivenditore, una build riconfezionata o una copia portatile da un forum merita più sospetto del download firmato dello stesso editore.

Quando un criterio possiede la decisione

Su un Mac aziendale l'amministratore potrebbe aver già deciso. Un profilo di gestione può consegnare la definizione VPN, preapprovare l'estensione e bloccare la connessione in modo che non possa essere rimossa. In quella disposizione la richiesta di inserire una password è spesso una richiesta di annullare una decisione che non è mai stata tua.

Abbassare la sicurezza di avvio o staccare la gestione per forzare un'installazione cambia permanentemente il modello di minaccia della macchina per risolvere un problema temporaneo. Questo scambio raramente è fatto consapevolmente; di solito accade seguendo un post di un forum. Chiedi invece all'amministratore il percorso supportato, che può essere semplice come reinviare il profilo o approvare l'estensione sul server. Se l'amministratore non può approvarla, quella risposta è il risultato, non un ostacolo da aggirare.

Conferma lo stato dopo l'approvazione

Una volta data un'approvazione autorizzata, verifica ciò che il sistema pensa invece di ciò che il client dichiara. L'elenco delle estensioni riporta lo stato di attivazione senza bisogno di alcuno strumento di terze parti.

systemextensionsctl list

Una voce mostrata come attivata appartiene all'identificatore del team che hai controllato prima; una voce mostrata come terminata in attesa di approvazione dell'utente spiega un client che si avvia e non trasporta mai traffico. Se il prompt ritorna dopo ogni tentativo, cattura il messaggio esatto e la versione del client, perché un'approvazione ripetuta di solito significa che l'estensione viene sostituita senza disattivare la precedente, e questo è un caso di assistenza, non un problema di password. Annota la versione prima di chiamare l'assistenza, perché la correzione potrebbe già esistere in una build più recente e la conversazione inizierà da lì.