VPN maršrutas nesuteikia nuotolinio prisijungimo prie jūsų Mac

Prisijungimas prie darbo VPN pats savaime nieko nesako apie tai, ar kas nors gali prisijungti prie jūsų Mac iš kitur. Turi sutapti trys atskiri dalykai: tinklo kelias, pasiekiantis mašiną, veikianti prieigos paslauga ir leidimas konkrečiai paskyrai naudotis ta paslauga. Tunelis suteikia tik pirmąjį. Visa kita šiame puslapyje skirta patikrinti kitus du, nenumatant atsakymo.

Pradėkite nuo paslaugos ar įdiegto komponento, kuris suteiktų nuotolinę prieigą, ir nustokite tai spręsti iš prisijungusios būsenos indikatoriaus meniu juostoje.

Trys kontrolės, kurias žmonės sulieja į vieną

Pasiekiamumas atsako, ar paketai gali atvykti. Bendraukos paslauga atsako, ar mašinoje kažkas klausosi. Autorizacija atsako, kurias tapatybes paslauga priima ir ką jos gali liesti patekusios vidun. VPN gali pakeisti pirmąjį atsakymą neliesdamas kitų dviejų, ir būtent todėl šis klausimas nuolat duoda blogas išvadas abiem kryptimis.

Apple „Remote Login“ gairės yra geras konkretus šio atskyrimo pavyzdys, nes jos yra konkrečioje vietoje ir turi savo paskyrų pasirinkimus. Jos yra skiltyje System Settings, General, Sharing ir aprašo SSH bei SFTP prieigą su leidžiamų naudotojų pasirinkimu. Visos disko prieigos nuotoliniams naudotojams parinktis vėl yra atskira, o tai sustiprina mintį: įjungti paslaugą nėra tas pats, kas suteikti visus gebėjimus, kuriuos paslauga galėtų pasiūlyti.

Patikrinkite, kas iš tikrųjų įjungta

Peržiūrėkite Sharing skydelį ir užsirašykite kiekvieną įjungtą paslaugą, ne tik tą, kurios tikėjotės. Remote Login, Screen Sharing ir File Sharing kiekviena atveria skirtingą paviršių, ir kiekviena turi savo naudotojų sąrašą. SSH nustatymas nieko nesako apie ekrano bendrinimą, o bendrinimo funkcijos buvimas operacinėje sistemoje nieko nesako apie tai, ar kas nors ja naudojosi.

Tada surašykite, kas dar galėtų suteikti prieigą: trečiosios šalies nuotolinės pagalbos agentas, registracijos metu įdiegtas valdymo įrankis ar ekrano bendrinimo serveris, supakuotas su kuo nors kitu. Šie neatsiranda Sharing skydele, ir būtent šiuos komponentus žmonės pamiršta atlikdami nešiojamojo kompiuterio auditą. Užrašykite kiekvieną agentą, kurio negalite atpažinti, nes nežinomas procesas su klausymosi prievadu įdomesnis už žinomą be jo. Trumpas nežinomųjų sąrašas vertingesnis už pasitikėjimą keliančią išvadą, padarytą remiantis vieninteliu skydeliu, kurį netyčia atidarėte.

Paklauskite administratoriaus, ką įdiegė registracija

Jei darbo registracija apėmė konfigūracijos profilį, administratoriaus patvirtinimą ar papildomą programinę įrangą, paprašykite ją tvarkančio asmens atsakyti į tris dalykus: kurie komponentai įdiegti, kokius leidimus jie turi ir kas lieka aktyvu po to, kai atsijungiate. VPN maršrutas ir privilegijuotas galinio taško agentas turi labai skirtingus gebėjimus, ir paprastai tik vienas jų yra matomas naudotojui.

Dėl leidžiamos nuotolinės pagalbos sutarties gauskite detales raštu: kurie naudotojai įgalioti, kokios operacijos numatytos, ar atsiranda patvirtinimo raginys ir kaip sutartis pašalinama pasibaigus darbui. Nesuteikite prieigos visiems naudotojams ar plačių disko leidimų vien tam, kad patikrintumėte, ar pagalba gali prisijungti, nes šis bandymas visam laikui praplečia ribą.

Jei rasite įrodymų, kurių nesitikėjote

Nežinomas ryšių žurnalas ar įjungtas jungiklis yra pėdsakas, o ne konkretaus asmens veiklos įrodymas. Išsaugokite svarbius ne slaptus įvykius, užrašykite laikus ir naudokite organizacijos ar platformos incidentų procedūrą, užuot susidūrę su kuo nors ar trynę įrodymus tikėdamiesi, kad viskas išsispręs savaime.

Valdomame įrenginyje paprašykite jo savininko peržiūrėti siūlomus pakeitimus prieš išjungiant politikos reikalaujamą kontrolę. Asmeniniame įrenginyje, prijungtame prie darbo tinklo, paprašykite aiškios registracijos ribos ir palaikomos išėjimo procedūros, įskaitant tai, kas pašalinama ir kas lieka.

Naudingas atsakymas įvardija mechanizmą ir valdžią, kuri už jo slypi. Jis niekada nežada nei neribotos darbdavio prieigos, nei visiško saugumo dėl tunelio etiketės, ir nepainioja maršruto su prisijungimu.