Mac VPN On Demand: ko patiesībā pierāda SSID atbilstība?
SSID atbilstība ir noteikuma nosacījums, nevis uzticības pierādījums. Izveidojiet On Demand noteikumu, izvēlieties nezināma tīkla noklusējumu un turiet bloķēšanu atsevišķi.
VPN savienošana visur, izņemot biroja Wi-Fi, izklausās kā divu rindu politika, un grūtā daļa nekad nav bijusi tīkla nosaukuma atpazīšana. Grūtā daļa ir izlemt, ko atbilstošs nosaukums drīkst pierādīt. Jebkurš piekļuves punkts var pārraidīt pazīstamu SSID, un veiksmīgs ping uz vienu adresi pierāda tikai to, ka viena pārbaude saņēma atbildi. Neviens no šiem novērojumiem nepierāda, ka Mac atrodas autentificētā iekšējā tīklā.
Nosaukums nav identitāte
SSID ir etiķete, ko pārraida radio. Tas nav atslēga, sertifikāts vai apgalvojums par to, kam pieder aparatūra, un pasākuma vieta vai blakus esošs birojs var pārraidīt to pašu virkni bez jebkādas koordinācijas. Uzskatīt etiķeti par norādījumu izslēgt aizsardzību nozīmē nodot lēmumu tam, kurš konfigurēja tuvāko piekļuves punktu.
Ping tests neizdodas smalkāka iemesla dēļ: tas atbild uz jautājumu par sasniedzamību, nevis par piederību. Mērķis, kas atbild, var būt sasniedzams no jebkurienes, var būt sasniedzams tikai caur tuneli, par kuru jūs mēģināt izlemt, vai var būt captive portāls, kas atgriež kaut ko, kas izskatās pēc atbildes. Sasniedzamība ir noderīgs fakts un slikta uzticības robeža.
Kā On Demand novērtē noteikumu kopu
Apple On Demand modelis savieno darbību ar neobligātiem tīkla nosacījumiem, un noteikumi tiek novērtēti secībā: pirmais noteikums, kura visi nosacījumi atbilst, nodrošina darbību, un pārējie netiek izskatīti. Šī secība ir politika, tāpēc noteikums, kas pievienots «katram gadījumam», var klusi pārrakstīt uzvedību, kas darbojās.
SSID nosacījums attiecas uz pašreizējo primāro savienoto tīklu, nevis uz katru skenēšanā redzamo nosaukumu. Tas dod trīs atšķirīgus stāvokļus, un to sapludināšana divos ir ierastā konfigurācijas kļūda:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Konfigurējiet to tur, kur dzīvo politika
Apstiprināts VPN klients vai pārvaldības darbplūsma ir vieta, kurai pieder šis noteikums, un dažādi pakalpojumu sniedzēji atklāj dažādas pieejamo vadīklu apakškopas. Tāpēc trūkstoša opcija šajā panelī nozīmē, ka klients to nav atklājis, nevis to, ka platforma to nevar izteikt.
Automātiskai aktivizēšanai nepieciešama arī autentifikācijas kārtība, kas var pabeigties bez cilvēka, piemēram, sertifikāts vai cita atbalstīta metode. Saglabāts vienreizējs kods nav šāda kārtība, un noteikums, kas iedarbojas, kamēr autentifikāciju nevar pabeigt, rada savienojuma mēģinājumu, kas fonā klusi neizdodas.
Divi modeļi, ko ir vērts ierakstīt runbook
Pirmais ir atdarinātais nosaukums. Konferenču vieta, viesnīca vai tās pašas ēkas nomnieks pārraida virkni, ko jūsu noteikums uzskata par «iekšpusi», un aizsardzība izslēdzas tieši tur, kur jūs to vēlētos vismazāk. Nosaukums nemeloja; noteikums tam uzdeva jautājumu, uz kuru tas nevar atbildēt.
Otrais ir pašu sevi uzveicošā pārbaude. Skripts ping vienu privātu adresi, redz atbildi caur tuneli, secina, ka jau ir iekšējā tīklā, un atvienojas. Tad pārbaude neizdodas, tāpēc skripts atkal pieslēdzas un atkārto, un tunelis svārstās, kamēr katrs atsevišķais solis izskatās pareizs. Tests, kura rezultāts ir atkarīgs no tuneļa, nevar arī izlemt, vai tunelim jāpastāv.
Izlemiet noklusējumu un pēc tam piemērojiet to atsevišķi
Nezināma tīkla gadījums un kabeļa gadījums prasa skaidras atbildes, nevis mantotu noklusējumu. Ja aizsargātajai plūsmai jāpaliek bloķētai, kamēr sistēma vēl klasificē tīklu vai ceļ tuneli, tam nepieciešama sava atbalstīta izpildes vadīkla; On Demand trigeris nodrošina savienojuma uzvedību, nevis bloķēšanas garantiju.
Pareizi uzrakstīts administratora noteikums norāda apstiprināto izņēmumu, to attaisnojošos pierādījumus un apzināto atkāpšanos, kad šo pierādījumu nav. Wi-Fi nosaukuma atpazīšana ir likumīga ievade šajā lēmumā. Tas nav lēmuma attaisnojums, un tam nekad nevajadzētu būt vienīgajai noteikuma rindai.