macOS वर लॉगिनपूर्वी VPN: अनलॉक, लॉगिन विंडो, सत्र
FileVault अनलॉक, लॉगिन विंडो आणि वापरकर्ता सत्र वेगवेगळे टप्पे आहेत. लॉगिनला सुरू होणारा डेस्कटॉप क्लायंट फक्त शेवटचा टप्पा सोडवतो.
हे एक समज आहे जे लोकांचे आठवडाभर वाया घालवते: की Mac ला लॉगिनपूर्वी नावाचा एकच क्षण असतो आणि VPN क्लायंट तेव्हा सुरू होतो किंवा होत नाही. प्रत्यक्षात मशीनमध्ये नेटवर्क प्रवेश महत्त्वाचा असलेले कमीत कमी तीन क्षण असतात, आणि त्या वेळी कोणाला क्रेडेन्शियल्स ठेवण्याची परवानगी आहे यावरून ते वेगळे होतात. लॉगिन आयटममधून सुरू होणारा क्लायंट त्यापैकी नेमका एकच व्यापतो, आणि तो शेवटचा आहे.
एक सेटिंग संपूर्ण बूट व्यापते हा गैरसमज
उत्पादन पृष्ठ पुन्हा वाचा आणि वैशिष्ट्य कोणत्या टप्प्याचे नाव घेते ते पहा. लॉगिनला सुरू करा असे लिहिलेला चेकबॉक्स म्हणजे लॉगिन आयटम, जो वापरकर्ता सत्र तयार झाल्यानंतर चालतो. मागणीनुसार कनेक्ट करा असे लिहिलेला चेकबॉक्स म्हणजे ट्रॅफिक नियमाशी जुळल्यावर क्लायंट कनेक्शन उघडतो, यासाठी क्लायंट आणि त्याची क्रेडेन्शियल्स उपलब्ध असणे अजूनही आवश्यक आहे.
यापैकी कोणतेही बूट प्रक्रियेपर्यंत पोहोचत नाही. ही विक्रेता विसरलेली मर्यादा नाही; हे ऑपरेटिंग सिस्टम परवानगी देते ते आहे. व्हॉल्यूम अनलॉक होण्यापूर्वी क्लायंट सुरू करण्यासाठी चालू सिस्टम नसते, आणि लॉगआउटनंतर वापरकर्त्याची रहस्ये सत्रासोबत जातात. दोन वेगवेगळ्या भिंती, आणि एकही दुसऱ्या चेकबॉक्ससमोर झुकत नाही.
टप्पे वेगळे केल्यावर मूळ प्रश्नाचा आकार बदलतो. VPN लॉगिनपूर्वी सुरू होतो का असे विचारण्याऐवजी, तीन विशिष्ट क्षणांपैकी कोणता काम करणे आवश्यक आहे असे विचारता, आणि मग प्रत्येकाचा मालक वेगळा आहे हे कळते: एन्क्रिप्शन स्टॅक, नेटवर्क विस्तार किंवा वापरकर्ता सत्र.
प्रत्येक टप्प्यावर प्रत्यक्षात काय घडते
बूट एन्क्रिप्टेड व्हॉल्यूमने सुरू होतो, जो कोणत्याही सामान्य कामासाठी उपयुक्त सिस्टम येण्यापूर्वी अनलॉक करावा लागतो. तो अनलॉक मर्यादित संदर्भात मर्यादित क्रेडेन्शियल्ससह होतो, आणि वैध अनलॉकशिवाय एन्क्रिप्टेड डेटा अगम्य राहतो असे Apple स्पष्टपणे नोंदवते.
मग लॉगिन विंडो येते, जिथे सिस्टम चालू आहे पण अजून वापरकर्ता सत्र नाही. वापरकर्त्याने लॉगआउट केले असेल तर वापरकर्ता-संदर्भातील विस्तार आधीच संपला आहे, आणि जागतिक सिस्टम विस्तार अजूनही चालू असू शकतो, पण चालू असणे हे तुमच्या VPN ला आवश्यक क्रेडेन्शियल्स ठेवण्यासारखे नाही.
मग सत्र येते, जिथे सामान्य क्लायंट लॉगिन कीचेन वाचू शकतो, दुसरा घटक मागू शकतो आणि ढकललेले मार्ग लागू करू शकतो. लोक लॉगिनपूर्वी असे वर्णन करतात त्या बहुतेक सुविधा प्रत्यक्षात हा टप्पा आहे, जो लॉगिनपूर्वी नाही तर सत्राच्या सुरुवातीला सक्रिय होतो.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
launch daemon अनुपस्थित वापरकर्त्यासाठी साइन इन का करू शकत नाही
वाढलेला विशेषाधिकार समस्या सोडवेल असे वाटते, आणि तो सोडवत नाही. launch daemon मागे वापरकर्ता सत्र नसलेली सिस्टम प्रक्रिया म्हणून चालतो, त्यामुळे अनलॉक करण्यासाठी कीचेन नाही आणि विनंतीला उत्तर देणारा माणूस नाही. तो सॉकेट उघडू शकतो आणि फाइल वाचू शकतो; जे करू शकत नाही ते म्हणजे क्रेडेन्शियल्सचा मालक असलेला वापरकर्ता होणे. विशेषाधिकार म्हणजे ओळख नाही, आणि नेमके येथेच दोन्ही गोंधळतात.
लोक त्या फरकात जे बनवतात ते आत पासवर्ड असलेली स्क्रिप्ट आहे, जी त्यांनी सुरू केलेल्या समस्येपेक्षा वाईट समस्या आहे.
आवश्यकतेची प्रामाणिक आवृत्ती अधिक संकुचित आहे. जर कोणीही नसताना मशीनला संरक्षित संसाधनापर्यंत पोहोचायचे असेल, तर ते संसाधन जी ओळख स्वीकारते ती माणसाशिवाय मशीन ठेवू शकेल अशी असली पाहिजे: डिव्हाइस प्रमाणपत्र, सिस्टम कीचेनमधील क्रेडेन्शियल, किंवा ज्याचा दुसरा घटक कोणाच्यातरी खिशातील फोनवर पुश नाही असे खाते. ती ओळख जाणीवपूर्वक रचा, आणि टप्प्याचा प्रश्न सहसा स्वतः उत्तर देतो.
Windows चे लॉगिनपूर्व वैशिष्ट्य येथे लागू होत नाही
Windows मध्ये काही दूरस्थ प्रवेश उत्पादनांसाठी नोंदवलेली लॉगिनपूर्व प्रवेश यंत्रणा आहे, आणि नाव क्षमतेपेक्षा चांगले प्रवास करते. Windows उपयोजन मार्गदर्शकात वर्णन केलेले वैशिष्ट्य त्याच विक्रेता macOS वर समतुल्य गोष्ट राबवतो का याबद्दल काहीही सांगत नाही.
Mac हार्डवेअर, macOS आवृत्ती, क्लायंट आवृत्ती आणि तुम्ही प्रत्यक्षात वापरता ती प्रमाणीकरण पद्धत यांचा समावेश असलेले विधान मागा. सामान्य समर्थनाचा दावा पुरेसा नाही, कारण चालणे आणि न चालणे यातील फरक अनेकदा त्या चारपैकी एकात असतो.
विक्रेता उत्तर देऊ शकत नसेल तर तेच उत्तर आहे. सत्र टप्प्याची योजना करा आणि देखरेख नसलेल्या प्रकरणासाठी पर्याय रचा, उपयोजनादरम्यान फरक शोधण्याऐवजी.
त्याऐवजी काय मागावे
आवश्यकता टप्प्यांच्या भाषेत लिहा. कोणते संसाधन, कोणाला आवश्यक, कोणत्या संदर्भात, आणि कनेक्शन अजून नसताना किती स्वीकार्य विलंब?
उत्तर साइन इन करणारा आणि नंतर बोगदा लागणारा वापरकर्ता असेल, तर मागणीनुसार कनेक्ट आणि स्टार्टअप आयटम पुरेसे आणि स्वस्त आहेत. उत्तर रात्रभर रीबूट होणारे आणि अहवाल देणारे मशीन असेल, तर रचनेला समर्थित डिस्क अनलॉक मार्ग, डिव्हाइस ओळख आणि नेटवर्क कधीही न उठल्यास काम करणारी पुनर्प्राप्ती प्रक्रिया लागते. उत्तर बोगद्यावर अवलंबून असलेले संस्थात्मक लॉगिन असेल, तर लॉगिन, ओळख आणि VPN रचना एकत्र बांधाव्या लागतात, वेगळ्या खरेदी करू नयेत.
Apple चे FileVault दस्तऐवज अनलॉक टप्प्यासाठी योग्य प्रारंभबिंदू आहे. त्यानंतरचे सर्व काही क्लायंट आणि ओळखीचा प्रश्न आहे, जो खरेदीपूर्वी विक्रेत्याच्या विधानाने निकाली काढावा.