macOS жүйесінде жүйеге кіруге дейінгі VPN: құлыптан шығару, кіру терезесі, сессия
FileVault құлпын ашу, кіру терезесі және пайдаланушы сессиясы бөлек кезеңдер. Кіру кезінде іске қосылатын жұмыс үстелі клиенті тек соңғы кезеңді шешеді.
Міне, адамдарға бір аптаға түсетін сенім: Mac-та кіруге дейін деп аталатын бір ғана сәт бар және VPN клиенті сол сәтте не іске қосылады, не қосылмайды. Шын мәнінде құрылғыда желіге қолжетімділік маңызды болатын кемінде үш сәт бар, оларды сол сәтте кімге тіркелгі деректерін ұстауға рұқсат етілгені бөледі. Кіру элементінен іске қосылған клиент олардың дәл біреуін қамтиды, және ол соңғысы.
Бір параметр бүкіл жүктелуді қамтиды деген аңыз
Өнім бетін қайта оқып, функция қай кезеңді атайтынын қараңыз. Кіру кезінде іске қосу деп жазылған белгілеу ұяшығы кіру элементін білдіреді, ол пайдаланушы сессиясы болғаннан кейін жұмыс істейді. Сұраныс бойынша қосылу деп жазылған ұяшық клиенттің трафик ережеге сәйкес келгенде байланыс ашатынын білдіреді, бұл әлі де клиент пен оның тіркелгі деректерінің қолжетімді болуын талап етеді.
Олардың ешқайсысы жүктелу процесіне жетпейді. Бұл жеткізуші жоюды ұмытып кеткен шектеу емес; бұл операциялық жүйе рұқсат ететін нәрсе. Дискінің құлпы ашылғанға дейін клиентті іске қосатын жұмыс істеп тұрған жүйе жоқ, ал шыққаннан кейін пайдаланушының құпиялары сессиямен бірге кетеді. Екі бөлек қабырға, және ешқайсысы басқа ұяшыққа мойынсұнбайды.
Кезеңдерді бөлген кезде бастапқы сұрақ пішінін өзгертеді. VPN кіруге дейін іске қосыла ма деп сұраудың орнына, үш нақты сәттің қайсысы жұмыс істеуі керегін сұрайсыз, содан кейін әрқайсысының иесі басқа екенін байқайсыз: шифрлау қабаты, желілік кеңейту немесе пайдаланушы сессиясы.
Әр кезеңде шын мәнінде не болады
Жүктелу шифрланған дискіден басталады, оны кез келген жалпы жұмыс үшін жарамды жүйе болмай тұрып ашу керек. Бұл ашу шектеулі контексте шектеулі тіркелгі деректерімен жүреді, және Apple шифрланған деректердің жарамды ашу болмаса қолжетімсіз қалатынын анық құжаттайды.
Содан кейін кіру терезесі келеді, онда жүйе жұмыс істейді, бірақ пайдаланушы сессиясы әлі жоқ. Егер пайдаланушы шығып кетсе, пайдаланушы контекстіндегі кеңейту әлдеқашан аяқталған, ал ғаламдық жүйелік кеңейту әлі жұмыс істеуі мүмкін, бірақ жұмыс істеу VPN-ге қажет тіркелгі деректерін ұстаумен бірдей емес.
Содан кейін сессия келеді, онда қарапайым клиент кіру кілттер шоғырын оқи алады, екінші факторды сұрай алады және жіберілген маршруттарды қолдана алады. Адамдар кіруге дейін деп сипаттайтын функциялардың көбісі шын мәнінде осы кезең, ол кіруге дейін емес, сессияның басында іске қосылады.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
Неге launch daemon жоқ пайдаланушы үшін кіре алмайды
Көтерілген артықшылық мәселені шешетін сияқты көрінеді, бірақ шешпейді. launch daemon артында пайдаланушы сессиясы жоқ жүйелік процесс ретінде жұмыс істейді, сондықтан ашатын кілттер шоғыры да, сұранысқа жауап беретін адам да жоқ. Ол сокет ашып, файл оқи алады; істей алмайтыны — тіркелгі деректеріне ие пайдаланушы болу. Артықшылық — бірегейлік емес, және дәл осы жерде екеуі шатасады.
Адамдар осы олқылықта жасайтыны — ішінде құпиясөз бар скрипт, бұл олар бастаған мәселеден де нашар мәселе.
Талаптың адал нұсқасы тарырақ. Егер құрылғы ешкім жоқ кезде қорғалған ресурсқа жетуі керек болса, сол ресурс қабылдайтын бірегейлік адамсыз құрылғы ұстай алатындай болуы керек: құрылғы сертификаты, жүйелік кілттер шоғырындағы тіркелгі дерегі немесе екінші факторы біреудің қалтасындағы телефонға жіберілетін хабарлама емес тіркелгі. Осы бірегейлікті әдейі жобалаңыз, және кезең сұрағы әдетте өзіне өзі жауап береді.
Windows-тың кіруге дейінгі функциясы мұнда ауыспайды
Windows-та кейбір қашықтан қолжетімділік өнімдері үшін құжатталған кіруге дейінгі қолжетімділік тетігі бар, және ат қабілеттен гөрі жақсы жүреді. Windows орналастыру нұсқаулығында сипатталған функция сол жеткізушінің macOS-та баламаны іске асыратыны туралы ештеңе айтпайды.
Mac аппаратын, macOS шығарылымын, клиент нұсқасын және шын мәнінде қолданатын аутентификация әдісін қамтитын мәлімдеме сұраңыз. Жалпы қолдау мәлімдемесі жеткіліксіз, өйткені жұмыс істеу мен істемеу арасындағы айырмашылық көбіне сол төрттің бірінде болады.
Егер жеткізуші жауап бере алмаса, жауап сол. Сессия кезеңін жоспарлаңыз және қадағалаусыз жағдайға балама жобалаңыз, олқылықты орналастыру барысында ашудан гөрі.
Оның орнына нені сұрау керек
Талапты кезеңдер тілінде жазыңыз. Қай ресурс, кімге қажет, қандай контексте және байланыс әлі жоқ кезде қандай қолайлы кешігумен?
Егер жауап кіріп, содан кейін туннель қажет ететін пайдаланушы болса, сұраныс бойынша қосылу және іске қосу элементі жеткілікті және арзан. Егер жауап түнде қайта жүктелетін және есеп беруі керек құрылғы болса, жобалауға қолдау көрсетілетін дискіні ашу жолы, құрылғы бірегейлігі және желі ешқашан көтерілмегенде жұмыс істейтін қалпына келтіру процесі қажет. Егер жауап туннельге тәуелді ұйымдық кіру болса, онда кіру, бірегейлік және VPN жобалары бірге салынуы керек, бөлек сатып алынбауы керек.
Apple-дың FileVault құжаттамасы құлыптан шығару кезеңі үшін дұрыс бастау нүктесі. Одан кейінгінің бәрі — сатып алудан бұрын жеткізуші мәлімдемесі шешуі тиіс клиент пен бірегейлік мәселесі.