Mac VPN On Demand: wat beweist eng SSID-Iwwereneestëmmung wierklech?
Eng SSID-Iwwereneestëmmung ass eng Regelbedingung, keen Beweis vu Vertrauen. Baut d'On Demand-Regel, wielt den Default fir onbekannte Netzer a haalt d'Blockéierung getrennt.
D'VPN iwwerall verbannen ausser um Büro-Wi-Fi kléngt wéi eng Politik vun zwou Zeilen, an de schwéieren Deel war ni engem Netznumm ze erkennen. De schwéieren Deel ass ze entscheeden, wat en iwwereneestëmmenden Numm beweisen däerf. All Access Point kann eng vertraut SSID ausstralen, an e erfollegräichen Ping op eng Adress beweist nëmmen, datt eng eenzeg Probe eng Äntwert kritt huet. Keng vun den zwou Observatioune beleet, datt de Mac op engem authentifizéierten internen Netz ass.
En Numm ass keng Identitéit
Eng SSID ass en Etikett, deen e Radio ausstrahlt. Et ass net e Schlëssel, en Zertifikat oder eng Ausso doriwwer, wiem d'Härdware gehéiert, an eng Evenementsplaz oder en Nopeschbüro kann déiselwecht Zeechekette ouni all Koordinatioun ausstralen. Den Etikett als Uweisung ze behandelen, de Schutz auszeschalten, iwwerléisst d'Decisioun deemjenegen, deen den nächsten Access Point konfiguréiert huet.
Den Ping-Test schléit aus engem subtilere Grond feel: hien äntwert op eng Fro iwwer d'Erreechbarkeet, net iwwer d'Memberschaft. En Zil, dat äntwert, kann vun iwwerall erreechbar sinn, kann nëmmen duerch den Tunnel erreechbar sinn, iwwer deen Dir decidéiere wëllt, oder kann e captive Portal sinn, deen eppes zréckschéckt, wat wéi eng Äntwert ausgesäit. Erreechbarkeet ass eng nëtzlech Tatsaach an eng schlecht Vertrauensgrenz.
Wéi On Demand e Reegelset bewäert
Dem Apple säin On Demand-Modell koppelt eng Aktioun mat optionalen Netzbedingungen, an d'Reegele ginn an der Rei bewäert: déi éischt Regel, där hir Bedingungen all passen, liwwert d'Aktioun, an déi aner ginn net consultéiert. Déi Rei ass d'Politik, dofir kann eng Regel, déi «just an de Fall» bäigefüügt gëtt, e Verhalen, dat funktionéiert huet, stëll ëmschreiwen.
D'SSID-Bedingung bezitt sech op deen aktuell primär verbonnenen Netz, net op all Numm, deen an engem Scan sichtbar ass. Dat ergëtt dräi verschidde Staaten, an se op zwee ze reduzéieren ass de gewéinleche Konfiguratiounsfehler:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Konfiguréiert et do, wou d'Politik lieft
En approuvéierte VPN-Client oder e Verwaltungs-Aarbechtsfloss ass dee Plaz, wou dës Regel gehéiert, an ënnerschiddlech Ubieder leeën ënnerschiddlech Deelmenge vun de verfügbare Kontrollen op. Eng fehlend Optioun an deem Panel heescht dofir, datt de Client se net opgeluecht huet, net datt d'Plattform se net ausdrécke kann.
Déi automatesch Aktivéierung brauch och eng Authentifizéierungs-Arrangement, déi ouni Mënsch fäerdeg gëtt, wéi en Zertifikat oder eng aner ënnerstëtzte Method. En gespäicherten eemolege Code ass dës Arrangement net, an eng Regel, déi feiert, während d'Authentifizéierung net fäerdeg ka ginn, produzéiert en Uschlossversuch, deen am Hannergrond stëll feelt.
Zwee Mustere fir an de Runbook ze schreiwen
Dat éischt ass den nogemaachten Numm. Eng Konferenzplaz, en Hotel oder en Locataire am selwechte Gebai straalt d'Zeechekette aus, déi Är Regel als «bannen» behandelt, an de Schutz geet genee do aus, wou Dir en am mannsten wëllt. Den Numm huet net gelunn; d'Regel huet him eng Fro gestallt, déi hien net beäntwere kann.
Dat zweet ass d'Probe, déi sech selwer besiegt. E Skript pingt eng privat Adress, gesäit eng Äntwert duerch den Tunnel, schléisst doraus, datt et schonn um internen Netz ass, an trennt d'Verbindung. Duerno feelt d'Probe, also verbënnt sech d'Skript erëm a widderhëlt, an den Tunnel schwingt, während all eenzel Schrëtt korrekt ausgesäit. En Test, deem säin Resultat vum Tunnel ofhängt, kann net gläichzäiteg entscheeden, ob den Tunnel soll existéieren.
Decidéiert den Default an ëmsetzt en getrennt
De Fall vum onbekannten Netz an de Fall vum Kabel brauchen explizit Äntwerten amplaz enger ierflech Default. Wann den geschützten Traffic blockéiert bleiwe muss, während de System nach den Netz klassifizéiert oder den Tunnel opbaut, brauch dat eng eege ënnerstëtzte Duerchsetzungskontroll; en On Demand-Trigger liwwert Verbindungsverhalen, keng Blockéierungsgarantie.
Richteg geschriwwen nennt d'Administrator-Regel déi approuvéiert Ausnam, d'Beweiser, déi se justifiéieren, an den bewussten Réckzuch, wann dës Beweiser fehlen. En Wi-Fi-Numm ze erkennen ass e legitimen Input fir dës Decisioun. Et ass net d'Justifikatioun vun der Decisioun, an et soll ni déi eenzeg Zeil an der Regel sinn.