Mac VPN On Demand: SSID сәйкестігі шын мәнінде нені дәлелдейді?
SSID сәйкестігі — ереженің шарты, сенімнің дәлелі емес. On Demand ережесін құрыңыз, белгісіз желінің әдепкі мәнін таңдаңыз және бұғаттауды бөлек ұстаңыз.
VPN-ді кеңсе Wi-Fi-інен басқа барлық жерде қосу екі жолдық саясат сияқты естіледі, ал қиын бөлігі ешқашан желі атауын тану болған емес. Қиын бөлігі — сәйкес келетін атау нені дәлелдей алатынын шешу. Кез келген кіру нүктесі таныс SSID тарата алады, ал бір мекенжайға сәтті ping тек бір тексеру жауап алғанын дәлелдейді. Бұл екі байқаудың ешқайсысы Mac-тың аутентификацияланған ішкі желіде екенін дәлелдемейді.
Атау — бұл сәйкестік емес
SSID — радионың тарататын белгісі. Ол кілт, сертификат немесе аппараттық құралдың кімге тиесілі екені туралы мәлімдеме емес, ал іс-шара орны немесе көршілес кеңсе бірдей жолды ешқандай үйлестірусіз тарата алады. Белгіні қорғанысты өшіру нұсқауы ретінде қабылдау шешімді ең жақын кіру нүктесін баптаған адамға береді.
Ping сынағы неғұрлым нәзік себеппен сәтсіз аяқталады: ол қолжетімділік туралы сұраққа жауап береді, мүшелік туралы емес. Жауап беретін нысан кез келген жерден қолжетімді болуы мүмкін, тек сіз шешуге тырысып жатқан туннель арқылы ғана қолжетімді болуы мүмкін, немесе жауапқа ұқсайтын нәрсені қайтаратын captive порталы болуы мүмкін. Қолжетімділік — пайдалы факт және нашар сенім шекарасы.
On Demand ережелер жиынтығын қалай бағалайды
Apple-дың On Demand моделі әрекетті қосымша желілік шарттармен жұптайды, ал ережелер ретімен бағаланады: барлық шарттары сәйкес келетін бірінші ереже әрекетті береді, қалғандары қарастырылмайды. Осы рет — саясат, сондықтан «сақтық үшін» қосылған ереже жұмыс істеп тұрған мінез-құлықты үнсіз қайта жазуы мүмкін.
SSID шарты ағымдағы негізгі қосылған желіге қатысты, сканда көрінетін әрбір атауға емес. Бұл үш бөлек күй береді, ал оларды екіге жинақтау — әдеттегі конфигурация қатесі:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Оны саясат тұратын жерде баптаңыз
Бекітілген VPN клиенті немесе басқару жұмыс ағыны — осы ереженің орны, және әртүрлі провайдерлер қолжетімді басқару элементтерінің әртүрлі ішкі жиынтықтарын ашады. Сондықтан сол панельде жоқ опция клиент оны ашпағанын білдіреді, платформа оны білдіре алмайды дегенді емес.
Автоматты іске қосу адамсыз аяқталатын аутентификация тәртібін де қажет етеді, мысалы сертификат немесе басқа қолдау көрсетілген әдіс. Сақталған бір реттік код мұндай тәртіп емес, ал аутентификация аяқталмаған кезде іске қосылатын ереже фонда үнсіз сәтсіздікке ұшырайтын қосылу әрекетін тудырады.
runbook-қа жазуға тұрарлық екі үлгі
Біріншісі — еліктеуші атау. Конференция орны, қонақүй немесе сол ғимараттағы жалдаушы сіздің ережеңіз «ішінде» деп санайтын жолды таратады, ал қорғаныс дәл сіз ең аз қалаған жерде өшеді. Атау өтірік айтқан жоқ; ереже оған жауап бере алмайтын сұрақ қойды.
Екіншісі — өзін жеңетін тексеру. Скрипт жеке мекенжайға ping жібереді, туннель арқылы жауап көреді, ішкі желіде екенін қорытындылайды және қосылымды үзеді. Содан кейін тексеру сәтсіз аяқталады, сондықтан скрипт қайта қосылып, қайталайды, ал әрбір жеке қадам дұрыс көрінгенімен туннель тербеледі. Нәтижесі туннельге тәуелді тест туннельдің болуы керек-қажет еместігін де шеше алмайды.
Әдепкі мәнді шешіп, оны бөлек орындаңыз
Белгісіз желі жағдайы мен кабель жағдайы мұраға қалған әдепкі мәннің орнына анық жауаптарды қажет етеді. Егер жүйе әлі желіні жіктегенде немесе туннельді көтергенде қорғалған трафик бұғатталған күйде қалуы керек болса, бұл өзінің қолдау көрсетілген орындау бақылауын қажет етеді; On Demand триггері қосылу мінез-құлқын береді, бұғаттау кепілдігін емес.
Дұрыс жазылған әкімші ережесі бекітілген ерекшелікті, оны ақтайтын дәлелдерді және сол дәлелдер жоқ болғандағы әдейі шегінуді атайды. Wi-Fi атауын тану сол шешім үшін заңды кіріс болып табылады. Бұл шешімнің негіздемесі емес және ешқашан ереженің жалғыз жолы болмауы керек.