VPN maršruts nedod attālinātu pieteikšanos tavā Mac

Pievienošanās darba VPN pati par sevi neko nepasaka par to, vai kāds var pieteikties tavā Mac no citurienes. Jāsakrīt trim atsevišķām lietām: tīkla ceļam, kas sasniedz mašīnu, darbojošam piekļuves pakalpojumam un atļaujai konkrētam kontam izmantot šo pakalpojumu. Tunelis nodrošina tikai pirmo. Viss pārējais šajā lapā ir par pārējo divu pārbaudi, nepieņemot atbildi kā pašsaprotamu.

Sāc ar pakalpojumu vai instalēto komponentu, kas sniegtu attālinātu piekļuvi, un pārtrauc to secināt no savienotas statusa indikatora izvēļu joslā.

Trīs kontroles, ko cilvēki sapludina vienā

Sasniedzamība atbild, vai paketes var ierasties. Koplietošanas pakalpojums atbild, vai mašīnā kaut kas klausās. Autorizācija atbild, kādas identitātes pakalpojums pieņem un kam tās drīkst pieskarties pēc iekļūšanas. VPN var mainīt pirmo atbildi, neaizskarot pārējās divas, un tieši tāpēc šis jautājums turpina radīt sliktus secinājumus abos virzienos.

Apple norādes par Remote Login ir labs konkrēts šī dalījuma piemērs, jo tās atrodas noteiktā vietā un ietver savas konta izvēles. Tās ir sadaļā System Settings, General, Sharing, un apraksta SSH un SFTP piekļuvi ar atļauto lietotāju izvēli. Pilna diska piekļuve attālinātiem lietotājiem atkal ir atsevišķa opcija, kas pastiprina domu: pakalpojuma ieslēgšana nav tas pats, kas visu iespēju piešķiršana, ko pakalpojums varētu piedāvāt.

Pārbaudi, kas patiešām ir ieslēgts

Pārskati Sharing paneli un pieraksti katru ieslēgto pakalpojumu, ne tikai to, kuru gaidīji. Remote Login, Screen Sharing un File Sharing katra atver citu virsmu, un katrai ir savs lietotāju saraksts. SSH iestatījums neko nepasaka par ekrāna koplietošanu, un koplietošanas funkcijas klātbūtne operētājsistēmā neko nepasaka par to, vai kāds to izmantojis.

Pēc tam uzskaiti, kas vēl varētu sniegt piekļuvi: trešās puses attālinātā atbalsta aģents, reģistrācijas laikā instalēts pārvaldības rīks vai ekrāna koplietošanas serveris, kas iekļauts kopā ar kaut ko citu. Tie neparādās Sharing panelī, un tieši šos komponentus cilvēki aizmirst, veicot klēpjdatora auditu. Pieraksti katru aģentu, ko nevari identificēt, jo nezināms process ar klausīšanās portu ir interesantāks par zināmu bez tā. Īss nezināmo saraksts ir labāks par pašpārliecinātu secinājumu, kas balstīts uz vienīgo paneli, ko nejauši atvēri.

Pajautā administratoram, ko reģistrācija instalēja

Ja darba reģistrācija ietvēra konfigurācijas profilu, administratora apstiprinājumu vai papildu programmatūru, palūdz to pārvaldošajai personai atbildēt uz trim lietām: kuri komponenti tika instalēti, kādas atļaujas tiem ir un kas paliek aktīvs pēc tam, kad atvienojies. VPN maršrutam un privileģētam galapunkta aģentam ir ļoti atšķirīgas iespējas, un parasti tikai viens no tiem ir redzams lietotājam.

Attiecībā uz atļautu attālinātā atbalsta vienošanos iegūsti detaļas rakstiski: kuri lietotāji ir pilnvaroti, kādas darbības ir paredzētas, vai parādās apstiprinājuma uzvedne un kā vienošanās tiek noņemta, kad darbs beidzas. Nedod piekļuvi visiem lietotājiem vai plašas diska atļaujas tikai tāpēc, lai pārbaudītu, vai atbalsts var pieslēgties, jo šis tests pastāvīgi paplašina robežu.

Ja atrodi pierādījumus, kurus negaidīji

Nezināms savienojumu žurnāls vai ieslēgts slēdzis ir pavediens, nevis konkrētas personas darbības pierādījums. Saglabā attiecīgos ne slepenos notikumus, pieraksti laikus un izmanto organizācijas vai platformas incidentu procedūru, nevis stājies kādam pretī vai dzēs pierādījumus cerībā, ka tas atrisināsies pats.

Pārvaldītā ierīcē lūdz tās īpašniekam pārskatīt ierosinātās izmaiņas, pirms atslēdz politika prasīto kontroli. Personīgā ierīcē, kas pievienota darba tīklam, lūdz skaidru reģistrācijas robežu un atbalstītu iziešanas procedūru, tostarp to, kas tiek noņemts un kas paliek.

Noderīgā atbilde nosauc mehānismu un varu aiz tā. Tā nekad nesola ne neierobežotu darba devēja piekļuvi, ne pilnīgu drošību tuneļa marķējuma dēļ, un tā nesajauc maršrutu ar pieteikšanos.