Mac VPN On Demand: ką iš tikrųjų įrodo SSID atitikimas?
SSID atitikimas yra taisyklės sąlyga, o ne pasitikėjimo įrodymas. Sukurkite On Demand taisyklę, pasirinkite nežinomo tinklo numatytąją reikšmę ir blokavimą laikykite atskirai.
Jungti VPN visur, išskyrus biuro Wi-Fi, skamba kaip dviejų eilučių politika, o sunkioji dalis niekada nebuvo tinklo pavadinimo atpažinimas. Sunkioji dalis yra nuspręsti, ką atitinkantis pavadinimas gali įrodyti. Bet kuris prieigos taškas gali skelbti pažįstamą SSID, o sėkmingas ping į vieną adresą įrodo tik tai, kad viena patikra gavo atsakymą. Nė vienas iš šių stebėjimų neįrodo, kad Mac yra autentifikuotame vidiniame tinkle.
Pavadinimas nėra tapatybė
SSID yra etiketė, kurią transliuoja radijas. Tai ne raktas, ne sertifikatas ir ne pareiškimas apie tai, kam priklauso aparatinė įranga, o renginio vieta ar kaimyninis biuras gali transliuoti tą pačią eilutę be jokio koordinavimo. Traktuoti etiketę kaip nurodymą išjungti apsaugą reiškia perduoti sprendimą tam, kas sukonfigūravo artimiausią prieigos tašką.
Ping testas nepavyksta dėl subtilesnės priežasties: jis atsako į pasiekiamumo klausimą, o ne į narystės. Atsakantis taikinys gali būti pasiekiamas iš bet kur, gali būti pasiekiamas tik per tunelį, dėl kurio bandote nuspręsti, arba gali būti captive portalas, grąžinantis kažką, kas atrodo kaip atsakymas. Pasiekiamumas yra naudingas faktas ir bloga pasitikėjimo riba.
Kaip On Demand vertina taisyklių rinkinį
Apple On Demand modelis susieja veiksmą su pasirenkamomis tinklo sąlygomis, o taisyklės vertinamos eilės tvarka: pirmoji taisyklė, kurios visos sąlygos atitinka, pateikia veiksmą, o likusios nenagrinėjamos. Ši tvarka yra politika, todėl taisyklė, pridėta «dėl viso pikto», gali tyliai perrašyti veikusį elgesį.
SSID sąlyga nurodo dabartinį pagrindinį prisijungusį tinklą, o ne kiekvieną nuskaityme matomą pavadinimą. Tai suteikia tris skirtingas būsenas, o jų sutraukimas į dvi yra įprasta konfigūracijos klaida:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Konfigūruokite ten, kur gyvena politika
Patvirtintas VPN klientas arba valdymo darbo eiga yra vieta, kuriai priklauso ši taisyklė, o skirtingi tiekėjai atskleidžia skirtingus galimų valdiklių poaibius. Todėl toje panelėje trūkstama parinktis reiškia, kad klientas jos neatskleidė, o ne kad platforma negali jos išreikšti.
Automatinis aktyvavimas taip pat reikalauja autentifikavimo tvarkos, kuri gali baigtis be žmogaus, pavyzdžiui, sertifikato ar kito palaikomo metodo. Išsaugotas vienkartinis kodas nėra tokia tvarka, o taisyklė, kuri suveikia, kai autentifikavimas negali būti baigtas, sukuria ryšio bandymą, kuris tyliai nepavyksta fone.
Du šablonai, kuriuos verta įrašyti į runbook
Pirmasis yra pamėgdžiojantis pavadinimas. Konferencijų vieta, viešbutis ar to paties pastato nuomininkas transliuoja eilutę, kurią jūsų taisyklė laiko «vidumi», ir apsauga išsijungia būtent ten, kur to labiausiai nenorėtumėte. Pavadinimas nemelavo; taisyklė uždavė jam klausimą, į kurį jis negali atsakyti.
Antrasis yra save nugalintis patikrinimas. Scenarijus siunčia ping į privatų adresą, mato atsakymą per tunelį, padaro išvadą, kad jau yra vidiniame tinkle, ir atsijungia. Tada patikrinimas nepavyksta, todėl scenarijus vėl prisijungia ir kartoja, o tunelis svyruoja, nors kiekvienas atskiras žingsnis atrodo teisingas. Testas, kurio rezultatas priklauso nuo tunelio, negali kartu nuspręsti, ar tunelis turėtų egzistuoti.
Nuspręskite numatytąją reikšmę ir įgyvendinkite ją atskirai
Nežinomo tinklo atvejis ir kabelio atvejis reikalauja aiškių atsakymų, o ne paveldėtos numatytosios reikšmės. Jei apsaugotas srautas turi likti užblokuotas, kol sistema dar klasifikuoja tinklą arba kelia tunelį, tam reikia atskiro palaikomo vykdymo valdiklio; On Demand trigeris suteikia ryšio elgesį, o ne blokavimo garantiją.
Tinkamai parašyta administratoriaus taisyklė nurodo patvirtintą išimtį, ją pagrindžiančius įrodymus ir sąmoningą atsitraukimą, kai tų įrodymų nėra. Wi-Fi pavadinimo atpažinimas yra teisėta įvestis šiam sprendimui. Tai nėra sprendimo pagrindimas ir niekada neturėtų būti vienintelė taisyklės eilutė.