Mac VPN On Demand: што навистина докажува совпаѓањето на SSID?
Совпаѓањето на SSID е услов на правило, а не доказ за доверба. Изградете го правилото On Demand, изберете стандардна вредност за непознати мрежи и држете го блокирањето одделно.
Поврзувањето на VPN насекаде освен на канцеларискиот Wi-Fi звучи како политика од два реда, а тешкиот дел никогаш не бил препознавање на името на мрежата. Тешкиот дел е да се одлучи што смее да докаже совпаѓачкото име. Секоја пристапна точка може да емитува познат SSID, а успешен ping до една адреса докажува само дека една проверка добила одговор. Ниту едно од двете набљудувања не докажува дека Mac е на автентифицирана внатрешна мрежа.
Името не е идентитет
SSID е етикета што ја емитува радио. Тоа не е клуч, сертификат или изјава за тоа чиј е хардверот, а место на настан или соседна канцеларија може да ја емитува истата низа без никаква координација. Третирањето на етикетата како инструкција да се исклучи заштитата ја предава одлуката на оној што ја конфигурирал најблиската пристапна точка.
Ping тестот пропаѓа од посуптилна причина: одговара на прашање за достапноста, а не за членството. Целта што одговара може да биде достапна од каде било, може да биде достапна само преку тунелот за кој се обидувате да одлучите, или може да биде captive портал што враќа нешто што изгледа како одговор. Достапноста е корисен факт и лоша граница на доверба.
Како On Demand оценува збир правила
Моделот On Demand на Apple спојува дејство со опционални мрежни услови, а правилата се оценуваат по ред: првото правило чиишто услови сите се совпаѓаат го дава дејството, а останатите не се разгледуваат. Тој ред е политиката, затоа правило додадено «за секој случај» може тивко да го препише однесувањето што функционирало.
Условот SSID се однесува на тековната примарна поврзана мрежа, а не на секое име видливо при скенирање. Тоа дава три различни состојби, а нивното сведување на две е вообичаената грешка во конфигурацијата:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Конфигурирајте го таму каде што живее политиката
Одобрен VPN клиент или управувачки работен тек е местото на кое му припаѓа ова правило, а различни добавувачи откриваат различни подмножества од достапните контроли. Затоа опцијата што недостасува во тој панел значи дека клиентот не ја открил, а не дека платформата не може да ја изрази.
Автоматското активирање бара и автентикациска поставеност што може да заврши без човек, како сертификат или друг поддржан метод. Зачуван еднократен код не е таа поставеност, а правило што се активира додека автентикацијата не може да заврши создава обид за поврзување што тивко пропаѓа во позадина.
Две шеми што вреди да се запишат во runbook
Првата е имитираното име. Конференциско место, хотел или закупец во истата зграда ја емитува низата што вашето правило ја третира како «внатре», и заштитата се исклучува токму таму каде што најмалку би сакале. Името не излажа; правилото му постави прашање на кое тоа не може да одговори.
Втората е проверката што се победува себеси. Скриптата ping-ува приватна адреса, гледа одговор низ тунелот, заклучува дека веќе е на внатрешната мрежа и се исклучува. Потоа проверката пропаѓа, па скриптата повторно се поврзува и повторува, а тунелот осцилира додека секој поединечен чекор изгледа точен. Тест чиј резултат зависи од тунелот не може истовремено да одлучи дали тунелот треба да постои.
Одлучете го стандардното и спроведете го одделно
Случајот со непозната мрежа и случајот со кабел бараат експлицитни одговори наместо наследено стандардно. Ако заштитениот сообраќај мора да остане блокиран додека системот сѐ уште ја класифицира мрежата или го подига тунелот, тоа бара сопствена поддржана контрола за спроведување; On Demand тригерот дава однесување на поврзување, а не гаранција за блокирање.
Правилно напишано, администраторското правило ја наведува одобрената исклучок, доказите што го оправдуваат и намерното повлекување кога тие докази недостасуваат. Препознавањето на Wi-Fi име е легитимен влез за таа одлука. Тоа не е оправдувањето на одлуката и никогаш не треба да биде единствениот ред во правилото.