Mac-VPN administratoriaus raginimas: diegimas, plėtinys ar taisyklė?

VPN kliento slaptažodžio raginimai atrodo vienodi ir tokie nėra. Už panašaus dialogo slypi keturi skirtingi veiksmai: failų rašymas į apsaugotą vietą diegimo metu, tinklo konfigūracijos pridėjimas ar keitimas, sistemos plėtinio, kuris neša srautą, aktyvavimas, ir valdymo serverio jau nustatytos taisyklės laikymasis. Kiekvienas turi kitą savininką, kitokį poveikio mastą ir kitokį būdą patikrinti, ar suveikė. Matomo pranešimo sutapatinimas su vienu iš šių keturių ir yra visas pratimas.

Trys skirtingi patvirtinimai atrodo vienodai

Diegėjo autorizacija yra paprasčiausias atvejis: paketas rašo į katalogus, kurių paprastas naudotojas negali keisti, ir macOS prašo administratoriaus kredencialų, kad tai leistų. Sistema nesprendžia, ar programinė įranga saugi; ji sprendžia, ar jums leidžiama ten rašyti. Todėl paketas gali įsidiegti švariai ir vis tiek būti nenaudingas: diegimo patvirtinimas nieko nesako apie tai, ar kodui bus leista veikti vėliau. Po diegimo programai gali prireikti antro patvirtinimo, kol ji galės daryti įtaką tinklui.

Tinklo konfigūracijos autorizacija apima sistemos ryšių sąrašo pakeitimus. Pridėti VPN paslaugą ar pakeisti nustatymus, kuriuos sukonfigūravo tinklo administratorius, reikia aukštesnių teisių, nes tos apibrėžtys veikia kiekvieną mašinos paskyrą. Šis patvirtinimas suteikia konfigūracijos įgaliojimus, o ne srauto įgaliojimus.

Plėtinio patvirtinimas yra tas, kuris svarbus tam, kaip keliauja paketai. Šiuolaikinis klientas įdiegia sistemos plėtinį, kurį macOS įkelia į sistemą, ir macOS prieš jį aktyvuodama reikalauja aiškaus sprendimo privatumo ir saugumo arba prisijungimo elementų ir plėtinių skiltyje. Ketvirtas atvejis yra valdomas Mac, kur taisyklė plėtinį patvirtina iš anksto ir naudotojas visiškai nemato dialogo.

Ką iš tikrųjų keičia kiekvienas patvirtinimas

Diegėjas keičia failus diske, ir jo pasekmės baigiasi, kai failai pašalinami, išskyrus likučius. Tinklo konfigūracija prideda paslaugos apibrėžtį, kuri atsiranda ryšių sąraše ir gali būti iš naujo aktyvuota pagal pareikalavimą veikiančiomis taisyklėmis. Plėtinio patvirtinimas keičia, kokį kodą sistema įkels ir išlaikys veikiantį, todėl kai kuriais darbo srautais jis išlieka pašalinus vaizdinę programą. Programos paketo pašalinimas ne visada pašalina jos plėtinį, o likęs plėtinys išlaiko savo tinklo privilegijas.

Šis skirtumas numato simptomą. Įdiegta, bet niekada nesijungia, paprastai reiškia, kad plėtinys niekur nepatvirtintas; jungiasi, bet nustatymai grįžta kitą kartą keičiant, paprastai reiškia, kad apibrėžtį valdo valdymo taisyklė.

Parašas ir leidėjas nusprendžia atsakymą

Prieš patvirtindami perskaitykite, kas pasirašė, o ne tai, ką siūlo dialogo piktograma. Dviejų vietinių patikrų pakanka pamatyti pasirašymo instituciją ir ar sistemos vertinimas praeina šioje mašinoje.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Nepasirašytas ar nenotarizuotas paketas nėra automatiškai kenkėjiškas, bet jis vertas kito sprendimo nei pasirašytas to tiekėjo, kurį turėjote omenyje. Paketas, gautas žinute, o ne iš paties tiekėjo svetainės, yra atvejis, kai atsakymas yra tiesiog ne.

Lyginkite komandos identifikatorių su tiekėjo paskelbtu tapatumu, o ne pasitikėkite rodomu programos pavadinimu, nes vardus lengva naudoti pakartotinai, o identifikatorius ne. Jei tiekėjas skelbia identifikatorių diegimo vadove, tas puslapis yra palyginimo nuoroda ir vieta, kur reikia pranešti apie neatitikimą. Klientas iš perpardavėjo, perpakuoto komponavimo ar nešiojamos kopijos iš forumo vertas daugiau įtarumo nei pasirašytas to paties tiekėjo atsisiuntimas.

Kai taisyklė valdo sprendimą

Įmonės Mac kompiuteryje administratorius galbūt jau nusprendė. Valdymo profilis gali pateikti VPN apibrėžtį, iš anksto patvirtinti plėtinį ir užrakinti ryšį, kad jo nebūtų galima pašalinti. Tokiame susitarime prašymas įvesti slaptažodį dažnai yra prašymas panaikinti sprendimą, kuris niekada nebuvo jūsų.

Paleidimo saugos sumažinimas ar valdymo atjungimas siekiant priversti įdiegti visam laikui pakeičia mašinos grėsmių modelį, kad būtų išspręsta laikina problema. Toks mainas retai daromas sąmoningai; paprastai tai nutinka sekant forumo įrašą. Verčiau paprašykite administratoriaus palaikomo kelio, kuris gali būti toks paprastas kaip profilio persiuntimas ar plėtinio patvirtinimas serverio pusėje. Jei administratorius negali jo patvirtinti, tas atsakymas ir yra radinys, o ne kliūtis, kurią reikia apeiti.

Patvirtinkite būseną po patvirtinimo

Kai duotas įgaliotas patvirtinimas, patikrinkite, ką mano sistema, o ne ką teigia klientas. Plėtinių sąrašas praneša aktyvavimo būseną be jokio trečiosios šalies įrankio.

systemextensionsctl list

Įrašas, rodomas kaip aktyvuotas, priklauso anksčiau patikrintam komandos identifikatoriui; įrašas, rodomas kaip sustabdytas ir laukiantis naudotojo patvirtinimo, paaiškina klientą, kuris paleidžiamas ir niekada neperduoda srauto. Jei raginimas grįžta po kiekvieno bandymo, užfiksuokite tikslią pranešimą ir kliento versiją, nes pasikartojantis patvirtinimas paprastai reiškia, kad plėtinys keičiamas nedeaktyvavus ankstesnio, ir tai yra palaikymo atvejis, o ne slaptažodžio problema. Užsirašykite versiją prieš skambindami palaikymui, nes pataisa gali jau būti naujesniame komponavime, ir pokalbis prasidės nuo ten.