Mac VPN On Demand: რას ამტკიცებს სინამდვილეში SSID-ის დამთხვევა?
SSID-ის დამთხვევა წესის პირობაა და არა ნდობის მტკიცებულება. ააწყვეთ On Demand წესი, აირჩიეთ უცნობი ქსელის ნაგულისხმევი და დაბლოკვა ცალკე შეინახეთ.
VPN-ის დაკავშირება ყველგან, გარდა ოფისის Wi-Fi-ისა, ორხაზიან პოლიტიკას ჰგავს, და რთული ნაწილი არასოდეს ყოფილა ქსელის სახელის ამოცნობა. რთული ნაწილია გადაწყვეტილების მიღება, რისი დამტკიცება შეიძლება დამთხვეულმა სახელმა. ნებისმიერ წვდომის წერტილს შეუძლია ნაცნობი SSID-ის გამოცხადება, და ერთ მისამართზე წარმატებული ping ამტკიცებს მხოლოდ იმას, რომ ერთმა შემოწმებამ პასუხი მიიღო. არც ერთი დაკვირვება არ ადასტურებს, რომ Mac ავთენტიფიცირებულ შიდა ქსელშია.
სახელი იდენტობა არ არის
SSID არის იარლიყი, რომელსაც რადიო ავრცელებს. ეს არ არის გასაღები, სერტიფიკატი ან განაცხადი იმის შესახებ, ვის ეკუთვნის ტექნიკა, და ღონისძიების ადგილს ან მეზობელ ოფისს შეუძლია იგივე სტრიქონის გავრცელება ყოველგვარი კოორდინაციის გარეშე. იარლიყის, როგორც დაცვის გამორთვის ინსტრუქციის, აღქმა გადაწყვეტილებას უთმობს მას, ვინც უახლოესი წვდომის წერტილი დააკონფიგურირა.
Ping-ტესტი იშლება უფრო დახვეწილი მიზეზით: ის პასუხობს კითხვას ხელმისაწვდომობაზე და არა წევრობაზე. პასუხისმგებელი სამიზნე შეიძლება იყოს ხელმისაწვდომი ნებისმიერი ადგილიდან, შეიძლება იყოს ხელმისაწვდომი მხოლოდ იმ გვირაბით, რომლის შესახებაც ცდილობთ გადაწყვეტილების მიღებას, ან შეიძლება იყოს captive პორტალი, რომელიც აბრუნებს პასუხის მსგავს რამეს. ხელმისაწვდომობა სასარგებლო ფაქტია და ცუდი ნდობის საზღვარი.
როგორ აფასებს On Demand წესების ერთობლიობას
Apple-ის On Demand მოდელი ქმედებას აკავშირებს არასავალდებულო ქსელურ პირობებთან, და წესები თანმიმდევრობით ფასდება: პირველი წესი, რომლის ყველა პირობა ემთხვევა, იძლევა ქმედებას, და დანარჩენები არ განიხილება. ეს თანმიმდევრობაა პოლიტიკა, ამიტომ «ყოველი შემთხვევისთვის» დამატებულ წესს შეუძლია ჩუმად გადაწეროს ის ქცევა, რომელიც მუშაობდა.
SSID-ის პირობა ეხება მიმდინარე ძირითად დაკავშირებულ ქსელს და არა სკანირებაში ხილულ ყველა სახელს. ეს იძლევა სამ განსხვავებულ მდგომარეობას, და მათი ორამდე დაყვანა ჩვეული კონფიგურაციის შეცდომაა:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
დააკონფიგურირეთ იქ, სადაც პოლიტიკა ცხოვრობს
დამტკიცებული VPN კლიენტი ან მართვის სამუშაო ნაკადი არის ადგილი, სადაც ეს წესი უნდა იყოს, და სხვადასხვა მომწოდებელი ხსნის ხელმისაწვდომი კონტროლების სხვადასხვა ქვესიმრავლეს. ამიტომ ამ პანელში არმყოფი ვარიანტი ნიშნავს, რომ კლიენტმა ის არ გახსნა და არა ის, რომ პლატფორმას არ შეუძლია მისი გამოხატვა.
ავტომატურ აქტივაციას ასევე სჭირდება ავთენტიფიკაციის მოწყობა, რომელიც ადამიანის გარეშე დასრულდება, მაგალითად სერტიფიკატი ან სხვა მხარდაჭერილი მეთოდი. შენახული ერთჯერადი კოდი ასეთი მოწყობა არ არის, და წესი, რომელიც აქტიურდება მაშინ, როცა ავთენტიფიკაცია ვერ დასრულდება, ქმნის კავშირის მცდელობას, რომელიც ფონზე ჩუმად ფუჭდება.
ორი ნიმუში, რომლებიც runbook-ში ღირს ჩაწერა
პირველი მიმბაძველი სახელია. კონფერენციის ადგილი, სასტუმრო ან იმავე შენობის მოიჯარე ავრცელებს იმ სტრიქონს, რომელსაც თქვენი წესი «შიგნით» მიიჩნევს, და დაცვა ითიშება ზუსტად იქ, სადაც ყველაზე ნაკლებად გინდოდათ. სახელმა არ მოიტყუა; წესმა მას კითხვა დაუსვა, რომელზეც მას პასუხი არ აქვს.
მეორე თავის თავს დამმარცხებელი შემოწმებაა. სკრიპტი ping-ს უშვებს კერძო მისამართზე, ხედავს პასუხს გვირაბის გავლით, ასკვნის, რომ უკვე შიდა ქსელშია და თიშავს კავშირს. შემდეგ შემოწმება ფუჭდება, ამიტომ სკრიპტი ხელახლა ერთვება და იმეორებს, და გვირაბი რხევას იწყებს, მაშინ როცა ყოველი ცალკეული ნაბიჯი სწორად გამოიყურება. ტესტი, რომლის შედეგიც გვირაბზეა დამოკიდებული, არ შეიძლება ერთდროულად გადაწყვიტოს, უნდა არსებობდეს თუ არა გვირაბი.
გადაწყვიტეთ ნაგულისხმევი და დანერგეთ ცალკე
უცნობი ქსელის შემთხვევა და კაბელის შემთხვევა მოითხოვს ცხად პასუხებს და არა მემკვიდრეობით ნაგულისხმევს. თუ დაცული ტრაფიკი უნდა დარჩეს დაბლოკილი, სანამ სისტემა ჯერ კიდევ ახარისხებს ქსელს ან გვირაბს ხსნის, ეს მოითხოვს საკუთარ მხარდაჭერილ აღსრულების კონტროლს; On Demand-ის ტრიგერი იძლევა კავშირის ქცევას და არა დაბლოკვის გარანტიას.
სწორად დაწერილი ადმინისტრატორის წესი აცხადებს დამტკიცებულ გამონაკლისს, მის გამამართლებელ მტკიცებულებებს და განზრახ უკან დახევას, როცა ეს მტკიცებულებები აკლია. Wi-Fi სახელის ამოცნობა ამ გადაწყვეტილებისთვის ლეგიტიმური შეყვანაა. ეს არ არის გადაწყვეტილების გამართლება და არასოდეს უნდა იყოს წესის ერთადერთი ხაზი.