macOS'то кирүүгө чейинки VPN: кулпуну ачуу, кирүү терезеси, сессия
FileVault кулпусун ачуу, кирүү терезеси жана колдонуучу сессиясы өзүнчө этаптар. Кирүүдө иштетилген жумуш үстөлү клиенти акыркы этапты гана чечет.
Мына, адамдарга бир жумага турган ишеним: Mac'та кирүүгө чейин деп аталган бир гана учур бар жана VPN клиенти ошол учурда башталат же башталбайт. Чындыгында түзмөктө желеге жетүү маанилүү болгон кеминде үч учур бар, аларды ошол учурда кимге каттоо маалыматтарын кармоого уруксат берилгени бөлөт. Кирүү элементинен иштетилген клиент алардын так бирин камтыйт, жана ал акыркысы.
Бир жөндөө бүт жүктөөнү камтыйт деген уламыш
Продукт баракчасын кайра окуп, функция кайсы этапты атай турганын караңыз. Кирүүдө баштоо деп жазылган белги кутучасы кирүү элементин билдирет, ал колдонуучу сессиясы болгондон кийин иштейт. Суроо боюнча туташуу деп жазылган кутуча клиент трафик эрежеге туура келгенде байланыш ачаарын билдирет, бул дагы клиент менен анын каттоо маалыматтарынын жеткиликтүү болушун талап кылат.
Алардын экөө тең жүктөө процессине жетпейт. Бул жеткирүүчү алып салууну унутуп калган чектөө эмес; бул операциялык система уруксат берген нерсе. Көлөмдүн кулпусу ачылганга чейин клиентти иштетүү үчүн иштеп жаткан система жок, ал эми чыккандан кийин колдонуучунун сырлары сессия менен кетишет. Эки өзүнчө дубал, жана экөө тең башка кутучага моюн толгобойт.
Этаптарды бөлгөндө баштапкы суроо формасын өзгөртөт. VPN кирүүгө чейин башталабы деп суроонун ордуна, үч так учурдун кайсынысы иштеши керектигин сурайсыз, анан ар биринин ээси башка экенин билесиз: шифрлоо катмары, желе кеңейтүүсү же колдонуучу сессиясы.
Ар бир этапта чындыгында эмне болот
Жүктөө шифрленген көлөмдөн башталат, аны кандайдыр бир жалпы иш үчүн жарактуу система болушунан мурун ачуу керек. Бул ачуу чектелген контекстте чектелген каттоо маалыматтары менен жүрөт, жана Apple шифрленген маалыматтардын жарактуу ачуусуз жеткиликсиз бойдон калаарын ачык документтештирет.
Андан кийин кирүү терезеси келет, анда система иштеп жатат, бирок колдонуучу сессиясы али жок. Колдонуучу чыгып кетсе, колдонуучу контекстиндеги кеңейтүү мурун бүткөн, ал эми глобалдык система кеңейтүүсү дагы иштеп жатышы мүмкүн, бирок иштөө VPN'ге керектүү каттоо маалыматтарын кармоо менен бирдей эмес.
Андан кийин сессия келет, анда кадимки клиент кирүү ачкычтар шоғун окуй алат, экинчи факторду сурай алат жана жиберилген маршруттарды колдоно алат. Адамдар кирүүгө чейин деп сүрөттөгөн функциялардын көбү чындыгында ушул этап, ал кирүүгө чейин эмес, сессиянын башында иштетилет.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
Эмне үчүн launch daemon жок колдонуучу үчүн кире албайт
Көтөрүлгөн артыкчылык маселени чечет окшойт, бирок чечпейт. launch daemon артында колдонуучу сессиясы жок система процесси катары иштейт, ошондуктан ача турган ачкычтар шоғу да, суроого жооп бере турган адам да жок. Ал сокет ачып, файл окуй алат; кыла албаганы — каттоо маалыматтарынын ээси болгон колдонуучуга айлануу. Артыкчылык — инсандык эмес, жана дал ушул жерде экөө чаташат.
Адамдар ушул кемтикте кура турган нерсе — ичинде сырсөз бар скрипт, бул алар баштаган маселеден да жаман маселе.
Талаптын чыныгы версиясы тарыраак. Эгер түзмөк эч ким жок кезде корголгон ресурска жетүүгө тийиш болсо, анда ошол ресурс кабыл алган инсандык адамсыз түзмөк кармай алгандай болушу керек: түзмөктүн сертификаты, система ачкычтар шоғундагы каттоо маалыматы же экинчи фактору бирөөнүн чөнтөгүндөгү телефонго жиберилген эскертүү эмес аккаунт. Бул инсандыкты атайын долбоорлаңыз, жана этаптын суроосу адатта өзү жооп берет.
Windows'тун кирүүгө чейинки функциясы бул жерде өтпөйт
Windows'то айрым алыскы жетүү продуктулары үчүн документтештирилген кирүүгө чейинки жетүү механизми бар, жана аты мүмкүнчүлүктөн жакшыраак жүрөт. Windows орнотуу боюнча колдонмодо сүрөттөлгөн функция ошол эле жеткирүүчү macOS'то барабар нерсени ишке ашырабы деген жөнүндө эч нерсе айтпайт.
Mac аппаратын, macOS чыгарылышын, клиент версиясын жана чындыгында колдонгон аутентификация ыкмасын камтыган билдирүү сураңыз. Жалпы колдоо тууралуу ырастоо жетишсиз, анткени иштөө менен иштебөөнүн айырмасы көбүнчө ошол төрттүн биринде болот.
Эгер жеткирүүчү жооп бере албаса, ошол эле жооп. Сессия этабын пландаштырыңыз жана көзөмөлсүз учур үчүн альтернатива долбоорлаңыз, кемтикти орнотуу учурунда табуунун ордуна.
Анын ордуна эмнени суроо керек
Талапты этаптардын тилинде жазыңыз. Кайсы ресурс, кимге керек, кандай контекстте жана байланыш али жок кезде кандай кабыл алынарлык кечигүү менен?
Эгер жооп кирип, анан туннелге муктаж болгон колдонуучу болсо, суроо боюнча туташуу жана иштетүү элементи жетиштүү жана арзан. Эгер жооп түнү кайра жүктөлүп, отчет бериши керек түзмөк болсо, долбоорго колдоого алынган дискти ачуу жолу, түзмөктүн инсандыгы жана желе эч качан көтөрүлбөй калганда иштеген калыбына келтирүү процесси керек. Эгер жооп туннелге көз каранды уюмдук кирүү болсо, анда кирүү, инсандык жана VPN долбоорлору бирге курулушу керек, өзүнчө сатып алынбашы керек.
Apple'дын FileVault документтери кулпуну ачуу этабы үчүн туура баштапкы чекит. Андан кийинкинин баары — сатып алуудан мурун жеткирүүчүнүн билдирүүсү чечиши керек болгон клиент жана инсандык маселеси.