Mac-VPN administratora pieprasījums: instalācija, paplašinājums vai politika?

VPN klienta paroles pieprasījumi izskatās vienādi un nav tādi. Aiz līdzīga dialoga slēpjas četras atšķirīgas darbības: failu rakstīšana aizsargātā vietā instalācijas laikā, tīkla konfigurācijas pievienošana vai maiņa, sistēmas paplašinājuma, kas pārvadā satiksmi, aktivizēšana, un pārvaldības servera jau noteiktas politikas ievērošana. Katrai ir cits īpašnieks, cits ietekmes apjoms un cits veids, kā pārbaudīt, vai tā nostrādāja. Redzamā ziņojuma saskaņošana ar vienu no šiem četriem ir viss vingrinājums.

Trīs dažādi apstiprinājumi izskatās vienādi

Instalētāja autorizācija ir vienkāršākais gadījums: pakotne raksta mapēs, ko parasts lietotājs nevar mainīt, un macOS pieprasa administratora akreditācijas datus, lai to atļautu. Sistēma neizlemj, vai programmatūra ir droša; tā izlemj, vai jums tur drīkst rakstīt. Tāpēc pakotne var instalēties tīri un tomēr būt bezjēdzīga: instalācijas apstiprinājums neko nepasaka par to, vai kodam pēc tam ļaus darboties. Pēc instalācijas lietotnei var būt nepieciešams otrs apstiprinājums, pirms tā var ietekmēt tīklu.

Tīkla konfigurācijas autorizācija aptver izmaiņas sistēmas savienojumu sarakstā. VPN pakalpojuma pievienošana vai tīkla administratora konfigurēto iestatījumu maiņa prasa paaugstināšanu, jo šīs definīcijas ietekmē katru iekārtas kontu. Šis apstiprinājums piešķir konfigurācijas pilnvaras, nevis satiksmes pilnvaras.

Paplašinājuma apstiprinājums ir tas, kas svarīgs tam, kā pārvietojas paketes. Mūsdienu klients instalē sistēmas paplašinājumu, ko macOS ielādē sistēmā, un macOS pirms tā aktivizēšanas pieprasa skaidru lēmumu sadaļā Privātums un drošība vai Pieteikšanās vienumi un paplašinājumi. Ceturtais gadījums ir pārvaldīts Mac, kur politika paplašinājumu apstiprina jau iepriekš un lietotājs vispār neredz dialogu.

Ko katrs apstiprinājums patiešām maina

Instalētājs maina failus diskā, un tā sekas beidzas, kad faili tiek noņemti, neskaitot pārpalikumus. Tīkla konfigurācija pievieno pakalpojuma definīciju, kas parādās savienojumu sarakstā un var tikt atkārtoti aktivizēta ar pieprasījuma noteikumiem. Paplašinājuma apstiprinājums maina to, kādu kodu sistēma ielādēs un uzturēs darbībā, tāpēc dažos darbplūsmos tas pārdzīvo vizuālās lietotnes atinstalēšanu. Lietotnes pakotnes noņemšana ne vienmēr noņem tās paplašinājumu, un atstātais paplašinājums saglabā savas tīkla privilēģijas.

Šī atšķirība paredz simptomu. Instalēts, bet nekad nepievienojas, parasti nozīmē, ka paplašinājums nekur nav apstiprināts; pievienojas, bet iestatījumi atgriežas nākamajā izmaiņā, parasti nozīmē, ka definīciju pārvalda pārvaldības politika.

Paraksts un izdevējs izlemj atbildi

Pirms apstiprināt, izlasiet, kas to parakstījis, nevis to, ko liecina dialoga ikona. Divas vietējas pārbaudes ir pietiekamas, lai redzētu parakstīšanas iestādi un vai sistēmas novērtējums šajā iekārtā iztur.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Neparakstīta vai nenotarizēta pakotne nav automātiski ļaunprātīga, taču tā ir pelnījusi citu lēmumu nekā parakstīta tā izdevēja pakotne, kuru bijāt domājis. Pakotne, kas atnākusi ar ziņojumu, nevis no izdevēja paša vietnes, ir gadījums, kad atbilde ir vienkārši nē.

Salīdziniet komandas identifikatoru ar izdevēja publicēto identitāti, nevis uzticieties lietotnes parādītajam nosaukumam, jo nosaukumus ir viegli izmantot atkārtoti, bet identifikatorus ne. Ja izdevējs publicē identifikatoru savā instalācijas rokasgrāmatā, šī lapa ir salīdzināšanas atsauce un arī vieta, kur jāziņo par neatbilstību. Klients no tālākpārdevēja, pārsaiņota būvējuma vai pārnēsājamas kopijas no foruma ir pelnījis vairāk aizdomu nekā tā paša izdevēja parakstīta lejupielāde.

Kad politika pārvalda lēmumu

Uzņēmuma Mac datorā administrators var būt jau izlēmis. Pārvaldības profils var piegādāt VPN definīciju, iepriekš apstiprināt paplašinājumu un bloķēt savienojumu tā, lai to nevarētu noņemt. Šādā kārtībā lūgums ievadīt paroli bieži ir lūgums atcelt lēmumu, kas nekad nav bijis jūsu.

Sāknēšanas drošības pazemināšana vai pārvaldības atvienošana, lai piespiestu instalāciju, neatgriezeniski maina iekārtas draudu modeli, lai atrisinātu īslaicīgu problēmu. Šis maiņas darījums reti tiek veikts apzināti; tas parasti notiek, sekojot foruma ierakstam. Tā vietā lūdziet administratoram atbalstīto ceļu, kas var būt tikpat vienkāršs kā profila atkārtota nosūtīšana vai paplašinājuma apstiprināšana servera pusē. Ja administrators to nevar apstiprināt, šī atbilde ir atradums, nevis šķērslis, ko apiet.

Pēc apstiprināšanas pārbaudiet stāvokli

Kad ir dots autorizēts apstiprinājums, pārbaudiet, ko domā sistēma, nevis ko apgalvo klients. Paplašinājumu saraksts ziņo aktivizācijas stāvokli bez trešās puses rīka.

systemextensionsctl list

Ieraksts, kas parādīts kā aktivizēts, pieder iepriekš pārbaudītajam komandas identifikatoram; ieraksts, kas parādīts kā pārtraukts un gaida lietotāja apstiprinājumu, izskaidro klientu, kas palaižas un nekad nepārvadā satiksmi. Ja pieprasījums atgriežas pēc katra mēģinājuma, fiksējiet precīzo ziņojumu un klienta versiju, jo atkārtots apstiprinājums parasti nozīmē, ka paplašinājums tiek aizstāts, neadeaktivizējot iepriekšējo, un tas ir atbalsta gadījums, nevis paroles problēma. Pierakstiet versiju pirms atbalsta zvanīšanas, jo labojums var jau būt jaunākā būvējumā, un saruna sāksies tur.