Mac VPN клиент: Network Extension ба System Extension

Apple-ийн хоёр нэр томьёог нэг зүйлийг нэрлэж байгаа мэт хэрэглэдэг бөгөөд энэ төөрөгдөл хүмүүсийг буруу тохиргооны панел руу илгээдэг. Network Extension нь боломжийг тодорхойлно: VPN туннель, прокси, шүүлтүүрийг хэрэгжүүлэх дэмжигдсэн арга. System Extensions нь хэрэглэгчийн орон зайн өргөтгөлүүдийн хүргэх болон зөвшөөрөх механизмыг тодорхойлно. Орчин үеийн Mac VPN клиент ихэвчлэн хоёуланг нь шаарддаг тул аль ч шошго ганцаараа шинж тэмдгийг тайлбарлаж чадахгүй. Хоёрыг салгах нь аль бүрэлдэхүүнийг шалгах, ямар зөвшөөрлийн алхмыг хүлээх вэ гэдэгт хариулна.

Хоёр асуулт, нэг шошго биш

Бүрэлдэхүүн хэрхэн суулгагдахыг асуухаас өмнө юу хийдгийг нь асуу. Боломж нь ямар үйлчилгээ үзүүлэгчийн анги байгаа, улмаар ямар код таны багцуудыг боловсруулахыг тодорхойлно. Хүргэх механизм нь хоёртын файл хэрхэн ирэх, хэрхэн зөвшөөрөгдөх, түүний төлөв хаана бүртгэгдэхийг тодорхойлно. Бүтээгдэхүүн хуучин хувилбаруудад системийн өргөтгөл хүргэхгүйгээр багц туннель хэрэгжүүлж болох бөгөөд туннелээс өөр зүйл хэрэгжүүлдэг системийн өргөтгөл хүргэж болно.

Цөмийн өргөтгөлүүд нь хүмүүсийн хольж буталдаг гурав дахь нэр томьёо юм. Тэд онцгой эрхтэй сүлжээний кодыг ажиллуулах хуучин арга байсан, өөр зөвшөөрөл шаарддаг, Apple олон жилийн турш хөгжүүлэгчдийг тэднээс холдуулж байна. Цөмийн өргөтгөлийн зөвшөөрлийн жорыг орчин үеийн клиентэд хэрэглэх нь хэзээ ч гарахгүй диалогт цаг үрэх юм.

Таны ажиллуулж буй macOS хувилбарт зориулсан нийлүүлэгчийн байршуулалтын тэмдэглэлийг унш өмнөх хувилбарын форумын нийтлэлийн оронд. Архитектур нэгээс олон удаа өөрчлөгдсөн, заавар хурдан хуучирдаг. Цөмийн өргөтгөлийн зөвшөөрлийг дурдсан тэмдэглэл нь бүтээгдэхүүний өөр эринийг тодорхойлно.

Network Extension юу өгдөг

Фреймворк нийтлэг сүлжээний ажлуудад үйлчилгээ үзүүлэгчийн төрлүүдийг өгдөг: VPN урсгалд зориулсан багц туннель, програмын урсгалд зориулсан апп прокси, урсгалыг шалгах агуулгын шүүлтүүр, шийдвэрлэгчийн зан төлөвт зориулсан DNS прокси боловсруулалт. Үйлчилгээ үзүүлэгчийн төрөл нь өргөтгөл юу хийж чадахыг тодорхойлдог бөгөөд хоёр үйлчилгээ үзүүлэгч хүргэдэг клиент хоёр өөр ажил хийж байж болно.

Энэ нь оношилгооны үед чухал, учир нь ижил холболтын шинж тэмдэг туннель, шүүлтүүр эсвэл DNS проксиас ирж болно. Вэбсайтыг блоклох нь шүүлтүүрийн шийдвэр, хувийн дэд сүлжээнд хүрэхгүй байх нь ихэвчлэн туннелийн шийдвэр, буруу хаягийг шийдвэрлэх нь ихэвчлэн шийдвэрлэгчийн шийдвэр. Үйлчилгээ үзүүлэгчийн төрлийг нэрлэх нь ямар ч лог уншихаас өмнө хайлтыг нарийсгана.

Фреймворкт юу ч нууцлалын байр суурийг илэрхийлэхгүй. Хэрэглэгчийн орон зайн өргөтгөлд одоо ч зөвшөөрөл, тохиргоо, ард нь оператор байдаг тул архитектурыг итгэлийн дохио биш, хэрэгжүүлэлтийн дэлгэрэнгүй мэдээлэл гэж үз. Төгсгөлийн цэгийг хэн удирдаж, юу цуглуулахаар тохируулсан талаар асуу.

System Extensions юуг өөрчилдөг

Механизм онцгой эрхтэй кодыг цөмөөс хэрэглэгчийн орон зайд шилжүүлж, үйлдлийн систем зөвшөөрөл хэрхэн хүсэхийг өөрчилдөг. Идэвхжүүлэлт нь суулгацаас тусдаа алхам бөгөөд хэрэглэгч эсвэл MDM профайл зөвшөөрөх ёстой. Суулгагддаг ч хэзээ ч идэвхждэггүй клиент Applications хавтаст байгаа мэт харагдах бөгөөд холболтын төлөө юу ч хийдэггүй.

Төлөвийг апп биш систем бүртгэдэг нь асууж болох тул ашигтай. Доорх команд нь системийн мэддэг өргөтгөлүүд болон тэдгээрийн идэвхжүүлэлтийн төлөвийг жагсаана.

systemextensionsctl list
scutil --nc list

Эхний команд бүрэлдэхүүн суулгагдсан, идэвхжсэн эсэхийг хариулна. Хоёр дахь нь системийн хадгалж буй VPN тохиргоог жагсаана, энэ нь өөр асуулт бөгөөд холболтын профайл эвдэрсэн биш, байхгүй үед ихэвчлэн чухал байдаг.

Тухайн шинж тэмдэгт юуг шалгах вэ

Тохиргооны панель нээхээс өмнө шинж тэмдгийг давхаргатай тааруул. Байхгүй тохиргоо нь профайлын асуулт, суулгагдсан боловч идэвхгүй бүрэлдэхүүн нь хүргэлтийн асуулт, урсгалыг нэвтрүүлж чадахгүй идэвхтэй бүрэлдэхүүн нь боломжийн асуулт юм.

Сүүлийн хоёр мөрийн хувьд логын урсгал нь нийтлэг нотолгоо юм. Сүлжээний өргөтгөлийн дэд системийг уншихад аль үйлчилгээ үзүүлэгч урсгалыг боловсруулсан нь мэдэгдэнэ, шүүлтүүрийн шийдвэр туннелийн алдаанаас өөр харагдана, хэрэглэгч хоёуланг нь эвдэрсэн VPN гэж тодорхойлсон ч.

log show --last 10m --predicate 'process == "nesessionmanager"'

Цэсний талбарт дүрс байгаа тул өргөтгөл идэвхтэй гэж дүгнэх хэрэггүй. Дүрснүүд бүтэлгүй идэвхжүүлэлтийн дараа ч үлддэг, хуучирсан дүрс нь дэмжлэгийн дуудлага буруу газраас эхлэх хамгийн түгээмэл шалтгаануудын нэг юм. Харин идэвхжүүлэлтийн төлөвийг унш, учир нь систем үүнийг бүртгэдэг.

Зөвшөөрөл, MDM ба цөмийн өргөтгөлийн домог

Удирддаг Mac компьютерт зөвшөөрлийн алхам нь MDM профайлд хамаарна, System Settings дээр Allow дарсан хэрэглэгч шинэчлэгдээгүй бодлогоор блоклогдсоор байж болно. Хэрэглэгчээс ямар нэгэн зүйл дарахыг хүсэхээс өмнө тухайн флотод аль механизм өргөтгөлийг зөвшөөрдөг талаар ширээний багаас асуу.

Удирддаггүй Mac дээр зөвшөөрлийн сануулга нэг удаа гарч, өргөтгөлийг дахин суулгах хүртэл татгалзал байнгын байж болно. Энэ зан төлөв нь OS шинэчлэлтийн өмнө клиент ажиллаж байсан, одоо хэзээ ч бий болдоггүй холболтыг мэдээлж буй машиныг тайлбарлана.

Байршуулж буй клиентэд зориулж үйлчилгээ үзүүлэгчийн төрөл, идэвхжүүлэлтийн төлөв, зөвшөөрлийн механизмыг бич. Эдгээр гурван баримт нь боломж ба хүргэлтийн маргааныг дахин нээхгүйгээр Mac VPN-ийн талаарх ихэнх ирээдүйн асуултад хариулна.