Mac VPN On Demand: che cosa dimostra davvero una corrispondenza SSID?
Una corrispondenza SSID è una condizione di regola, non una prova di fiducia. Costruite la regola On Demand, scegliete il valore predefinito per le reti sconosciute e tenete il blocco separato.
Connettere la VPN ovunque tranne che sul Wi-Fi dell’ufficio sembra una politica di due righe, e la parte difficile non è mai stata riconoscere il nome di una rete. La parte difficile è decidere che cosa un nome corrispondente può dimostrare. Qualsiasi punto di accesso può annunciare un SSID familiare, e un ping riuscito verso un indirizzo dimostra solo che una sonda ha ricevuto risposta. Nessuna delle due osservazioni stabilisce che il Mac sia su una rete interna autenticata.
Un nome non è un’identità
Un SSID è un’etichetta che una radio trasmette. Non è una chiave, un certificato né una dichiarazione su chi possiede l’hardware, e una sede o un ufficio vicino può diffondere la stessa stringa senza alcun coordinamento. Trattare l’etichetta come un’istruzione a disattivare la protezione consegna la decisione a chi ha configurato il punto di accesso più vicino.
Il test ping fallisce per una ragione più sottile: risponde a una domanda sulla raggiungibilità, non sull’appartenenza. Un bersaglio che risponde può essere raggiungibile da qualsiasi luogo, può esserlo solo attraverso il tunnel sul quale state cercando di decidere, oppure può essere un portale captive che restituisce qualcosa che sembra una risposta. La raggiungibilità è un fatto utile e un cattivo confine di fiducia.
Come On Demand valuta un insieme di regole
Il modello On Demand di Apple abbina un’azione a condizioni di rete facoltative, e le regole vengono valutate in ordine: la prima regola le cui condizioni corrispondono tutte fornisce l’azione, e le altre non vengono consultate. Quell’ordine è la politica, perciò una regola aggiunta «per sicurezza» può riscrivere in silenzio un comportamento che funzionava.
La condizione SSID si riferisce alla rete connessa primaria corrente, non a ogni nome visibile in una scansione. Questo produce tre stati distinti, e ridurli a due è il consueto errore di configurazione:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Configuratela dove vive la politica
Un client VPN approvato o un flusso di lavoro di gestione è il luogo a cui appartiene questa regola, e fornitori diversi espongono sottoinsiemi diversi dei controlli disponibili. Un’opzione assente in quel pannello significa quindi che il client non l’ha esposta, non che la piattaforma non possa esprimerla.
L’attivazione automatica richiede anche un meccanismo di autenticazione che possa completarsi senza un essere umano, come un certificato o un altro metodo supportato. Un codice monouso memorizzato non è quel meccanismo, e una regola che scatta mentre l’autenticazione non può completarsi produce un tentativo di connessione che fallisce in silenzio in background.
Due schemi da scrivere nel runbook
Il primo è il nome imitatore. Una sede congressuale, un hotel o un inquilino dello stesso edificio annuncia la stringa che la vostra regola tratta come «dentro», e la protezione si spegne esattamente dove la vorreste meno. Il nome non ha mentito; la regola gli ha posto una domanda a cui non può rispondere.
Il secondo è la sonda che sconfigge se stessa. Uno script esegue il ping di un indirizzo privato, vede una risposta attraverso il tunnel, conclude di essere già sulla rete interna e si disconnette. Poi la sonda fallisce, quindi lo script si riconnette e ripete, e il tunnel oscilla mentre ogni singolo passo sembra corretto. Un test il cui risultato dipende dal tunnel non può anche decidere se il tunnel debba esistere.
Decidete il valore predefinito e applicatelo separatamente
Il caso della rete sconosciuta e il caso del cavo richiedono risposte esplicite invece di un valore predefinito ereditato. Se il traffico protetto deve restare bloccato mentre il sistema sta ancora classificando la rete o alzando il tunnel, ciò richiede un proprio controllo di applicazione supportato; un trigger On Demand fornisce un comportamento di connessione, non una garanzia di blocco.
Scritta correttamente, la regola dell’amministratore enuncia l’eccezione approvata, le prove che la giustificano e il ripiego deliberato quando tali prove mancano. Riconoscere un nome Wi-Fi è un input legittimo per quella decisione. Non è la giustificazione della decisione, e non dovrebbe mai essere l’unica riga della regola.