VPN pirms pieteikšanās macOS: atslēgšana, pieteikšanās logs, sesija
FileVault atslēgšana, pieteikšanās logs un lietotāja sesija ir atsevišķi posmi. Darbvirsmas klients, kas startē pieteikšanās laikā, atrisina tikai pēdējo no tiem.
Lūk, uzskats, kas cilvēkiem izmaksā nedēļu: ka Mac ir viens mirklis, ko sauc pirms pieteikšanās, un ka VPN klients tajā mirklī vai nu startē, vai ne. Patiesībā ierīcei ir vismaz trīs mirkļi, kuros tīkla piekļuve ir svarīga, un tos šķir tas, kam tajā brīdī ir atļauts turēt akreditācijas datus. Klients, kas palaists no pieteikšanās elementa, aptver tieši vienu no tiem, un tas ir pēdējais.
Mīts, ka viens iestatījums aptver visu startēšanu
Vēlreiz izlasiet produkta lapu un paskatieties, kuru posmu funkcija nosauc. Izvēles rūtiņa ar uzrakstu startēt pieteikšanās laikā nozīmē pieteikšanās elementu, kas darbojas pēc tam, kad pastāv lietotāja sesija. Izvēles rūtiņa ar uzrakstu savienot pēc pieprasījuma nozīmē, ka klients atver savienojumu, kad trafiks atbilst noteikumam, un tam joprojām ir vajadzīgs, lai klients un tā akreditācijas dati būtu pieejami.
Neviens no tiem nesasniedz startēšanas procesu. Tas nav ierobežojums, ko piegādātājs aizmirsis noņemt; tas ir tas, ko pieļauj operētājsistēma. Pirms sējuma atslēgšanas nav darbojošās sistēmas, no kuras palaist klientu, un pēc izrakstīšanās lietotāja noslēpumi aiziet kopā ar sesiju. Divas atsevišķas sienas, un neviena nepiekāpjas citai rūtiņai.
Kad posmus atdala, sākotnējais jautājums maina formu. Tā vietā, lai jautātu, vai VPN startē pirms pieteikšanās, jūs jautājat, kurš no trim konkrētiem mirkļiem ir jāstrādā, un tad atklājat, ka katram ir cits īpašnieks: šifrēšanas slānis, tīkla paplašinājums vai lietotāja sesija.
Kas patiesībā notiek katrā posmā
Startēšana sākas ar šifrētu sējumu, kas jāatslēdz, pirms pastāv lietojama sistēma jebkuram vispārīgam darbam. Šī atslēgšana notiek ierobežotā kontekstā ar ierobežotu akreditācijas datu kopu, un Apple skaidri dokumentē, ka šifrētie dati paliek nepieejami bez derīgas atslēgšanas.
Tad nāk pieteikšanās logs, kur sistēma darbojas, bet lietotāja sesijas vēl nav. Lietotāja konteksta paplašinājums jau ir beidzies, ja lietotājs ir izrakstījies, un globālais sistēmas paplašinājums var vēl darboties, taču darboties nav tas pats, kas turēt akreditācijas datus, kas vajadzīgi jūsu VPN.
Tad nāk sesija, kurā parasts klients var nolasīt pieteikšanās atslēgu saišķi, pieprasīt otru faktoru un piemērot pievienotos maršrutus. Lielākā daļa funkciju, ko cilvēki apraksta kā pirms pieteikšanās, patiesībā ir šis posms, aktivizēts sesijas sākumā, nevis pirms tās.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
Kāpēc launch daemon nevar pieteikties prombūtnē esoša lietotāja vietā
Paaugstinātas privilēģijas šķietami atrisinās problēmu, un neatrisina. launch daemon darbojas kā sistēmas process bez lietotāja sesijas aiz tā, tāpēc nav atslēgu saišķa, ko atslēgt, un nav cilvēka, kas atbildētu uz pieprasījumu. Tas var atvērt ligzdu un nolasīt failu; ko tas nevar, ir kļūt par lietotāju, kuram pieder akreditācijas dati. Privilēģija nav identitāte, un tieši šeit abi tiek sajaukti.
Tas, ko cilvēki būvē šajā spraugā, ir skripts ar paroli iekšā, un tā ir sliktāka problēma par to, ar ko viņi sāka.
Godīgā prasības versija ir šaurāka. Ja ierīcei jāsasniedz aizsargāts resurss, kamēr neviens nav klāt, identitātei, ko šis resurss pieņem, jābūt tādai, ko ierīce var noturēt bez cilvēka: ierīces sertifikāts, akreditācijas datu ieraksts sistēmas atslēgu saišķī vai konts, kura otrais faktors nav paziņojums uz tālruni kāda kabatā. Projektējiet šo identitāti apzināti, un posma jautājums parasti atbild pats.
Windows funkcija pirms pieteikšanās netiek pārnesta
Windows ir dokumentēts pirms pieteikšanās piekļuves mehānisms dažiem attālinātās piekļuves produktiem, un nosaukums ceļo labāk nekā spēja. Funkcija, kas aprakstīta Windows izvietošanas rokasgrāmatā, neko nepasaka par to, vai tas pats piegādātājs ievieš ekvivalentu macOS.
Pieprasiet paziņojumu, kas aptver Mac aparatūru, macOS laidienu, klienta versiju un autentifikācijas metodi, ko jūs faktiski izmantojat. Vispārīgs atbalsta apgalvojums nav pietiekams, jo atšķirība starp strādāšanu un nestrādāšanu bieži slēpjas vienā no šiem četriem.
Ja piegādātājs nevar atbildēt, tā ir atbilde. Plānojiet sesijas posmu un projektējiet alternatīvu gadījumam bez uzraudzības, tā vietā, lai atklātu spraugu izvietošanas laikā.
Ko prasīt tā vietā
Uzrakstiet prasību posmu valodā. Kurš resurss, kam vajadzīgs, kādā kontekstā un ar kādu pieņemamu aizkavēšanos, kad savienojuma vēl nav?
Ja atbilde ir lietotājs, kas piesakās un pēc tam viņam vajag tuneli, savienošana pēc pieprasījuma un starta elements ir pietiekami un lēti. Ja atbilde ir ierīce, kas nakts laikā pārstartējas un kurai jāatskaitās, projektam vajag atbalstītu diska atslēgšanas ceļu, ierīces identitāti un atjaunošanas procesu, kas strādā, kad tīkls nekad nepaceļas. Ja atbilde ir organizācijas pieteikšanās, kas atkarīga no tuneļa, tad pieteikšanās, identitātes un VPN projekti jābūvē kopā, nevis jāpērk atsevišķi.
Apple FileVault dokumentācija ir pareizais sākumpunkts atslēgšanas posmam. Viss, kas nāk pēc tam, ir klienta un identitātes jautājums, ko piegādātāja paziņojumam vajadzētu atrisināt pirms pirkšanas.