Mac-VPN администраторско барање: инсталација, проширување или политика?

Барањата за лозинка од VPN клиент изгледаат исти, а не се. Зад сличен дијалог се кријат четири различни дејства: пишување датотеки на заштитено место при инсталација, додавање или менување на мрежна конфигурација, активирање системско проширување што пренесува сообраќај, и придржување до политика што серверот за управување веќе ја поставил. Секое има друг сопственик, друг опсег на влијание и друг начин да се провери дали работело. Совпаѓањето на пораката што ја гледате со едно од тие четири е целата вежба.

Три различни одобрувања изгледаат исто

Овластувањето на инсталатерот е наједноставниот случај: пакетот пишува во папки што обичен корисник не може да ги менува, и macOS бара администраторски податоци за да го дозволи тоа. Системот не одлучува дали софтверот е безбеден; одлучува дали вие смеете да пишувате таму. Затоа пакетот може чисто да се инсталира и сепак да биде бескорисен: одобрувањето на инсталацијата не кажува ништо за тоа дали на кодот ќе му се дозволи да работи потоа. По инсталацијата, апликацијата може да бара второ одобрување пред да влијае на мрежата.

Овластувањето за мрежна конфигурација опфаќа промени во списокот на врски на системот. Додавањето VPN услуга или менувањето поставки што ги конфигурирал мрежен администратор бара повишување, бидејќи тие дефиниции влијаат на секоја сметка на машината. Ова одобрување дава конфигурациско овластување, не сообраќајно.

Одобрувањето на проширување е она што е важно за тоа како патуваат пакетите. Современ клиент инсталира системско проширување што macOS го вчитува во системот, и macOS бара експлицитна одлука во Приватност и безбедност или во Ставки за најавување и проширувања пред да го активира. Четвртиот случај е управуван Mac, каде политиката однапред го одобрува проширувањето и корисникот воопшто не гледа дијалог.

Што всушност менува секое одобрување

Инсталатерот менува датотеки на дискот, и неговите последици завршуваат кога датотеките се отстрануваат, освен остатоците. Мрежната конфигурација додава дефиниција на услуга што се појавува во списокот на врски и може повторно да се активира со правила на барање. Одобрувањето на проширување менува кој код системот ќе го вчита и ќе го одржува во работа, затоа во некои работни текови го преживува деинсталирањето на визуелната апликација. Отстранувањето на пакетот на апликацијата не секогаш го отстранува неговото проширување, а заостанатото проширување ги задржува мрежните привилегии.

Оваа разлика го предвидува симптомот. Инсталирано но никогаш поврзано обично значи дека проширувањето никаде не е одобрено; се поврзува но поставките се враќаат при следната промена обично значи дека дефиницијата ја поседува управувачка политика.

Потписот и издавачот ја одлучуваат одговорот

Пред да одобрите, прочитајте кој го потпишал тоа, а не што сугерира иконата на дијалогот. Две локални проверки се доволни за да се види потписното тело и дали системската проценка поминува на оваа машина.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Непотишан или непотверен пакет не е автоматски штетен, но заслужува поинаква одлука од потпишаниот од добавувачот што сте го имале на ум. Пакет што пристигнал преку порака, а не од сопствениот сајт на добавувачот, е случајот кога одговорот е едноставно не.

Споредете го идентификаторот на тимот со објавениот идентитет на добавувачот наместо да му верувате на прикажаното име на апликацијата, бидејќи имињата лесно се користат повторно, а идентификаторите не. Ако добавувачот го објавува идентификаторот во својот водич за инсталација, таа страница е референца за споредбата и исто така местото каде треба да се пријави несовпаѓање. Клиент од препродавач, препакуван состав или пренослива копија од форум заслужува повеќе сомнеж од потпишаното преземање на истиот добавувач.

Кога политиката го поседува решението

На корпоративен Mac администраторот можеби веќе одлучил. Профилот за управување може да ја достави VPN дефиницијата, однапред да го одобри проширувањето и да ја заклучи врската за да не може да се отстрани. Во таков распоред барањето за внесување лозинка често е барање да се поништи одлука што никогаш не била ваша.

Намалувањето на безбедноста при стартување или откачувањето од управување за да се наметне инсталација трајно го менува моделот на закани на машината за да се реши привремен проблем. Таа размена ретко се прави свесно; обично се случува додека се следи форумски текст. Наместо тоа, побарајте го поддржаниот пат од администраторот, што може да биде едноставно како повторно испраќање на профилот или одобрување на проширувањето на серверот. Ако администраторот не може да го одобри, тој одговор е наодот, а не пречка што треба да се заобиколи.

Потврдете ја состојбата по одобрувањето

Откако ќе се даде овластено одобрување, проверете што мисли системот, а не што тврди клиентот. Списокот на проширувања ја известува состојбата на активирање без потреба од алатка од трета страна.

systemextensionsctl list

Записот прикажан како активиран припаѓа на идентификаторот на тимот што го проверивте претходно; записот прикажан како прекинат и што чека корисничко одобрување објаснува клиент што стартува и никогаш не пренесува сообраќај. Ако барањето се враќа по секој обид, забележете ја точната порака и верзијата на клиентот, бидејќи повторливото одобрување обично значи дека проширувањето се заменува без претходното да биде деактивирано, а тоа е случај за поддршка, не проблем со лозинка. Забележете ја верзијата пред да се јавите на поддршка, бидејќи исправката може веќе да постои во понов состав и разговорот ќе започне оттаму.