VPN sebelum log masuk pada macOS: buka kunci, tetingkap log masuk, sesi

Inilah kepercayaan yang merugikan orang seminggu: bahawa Mac mempunyai satu detik bernama sebelum log masuk, dan klien VPN sama ada bermula ketika itu atau tidak. Mesin sebenarnya mempunyai sekurang-kurangnya tiga detik apabila akses rangkaian penting, dipisahkan oleh siapa yang dibenarkan memegang kelayakan pada titik itu. Klien yang dilancarkan daripada item log masuk meliputi tepat satu daripadanya, dan itulah yang terakhir.

Mitos bahawa satu tetapan meliputi seluruh but

Baca semula halaman produk dan cari peringkat mana yang dinamakan oleh ciri itu. Kotak semak berlabel mula semasa log masuk bermaksud item log masuk, yang berjalan selepas sesi pengguna wujud. Kotak semak berlabel sambung apabila perlu bermaksud klien membuka sambungan apabila trafik sepadan dengan peraturan, yang masih memerlukan klien dan kelayakannya tersedia.

Kedua-duanya tidak sampai ke proses but. Itu bukan had yang vendor terlupa buang; itulah yang dibenarkan oleh sistem pengendalian. Sebelum volum dibuka kunci, tiada sistem berjalan untuk melancarkan klien, dan selepas log keluar rahsia pengguna pergi bersama sesi. Dua dinding berasingan, dan tiada satu pun mengalah kepada kotak semak lain.

Sebaik sahaja peringkat dipisahkan, soalan asal berubah bentuk. Daripada bertanya sama ada VPN bermula sebelum log masuk, anda bertanya detik mana daripada tiga detik tertentu yang mesti berfungsi, dan kemudian mendapati setiap satu mempunyai pemilik berbeza: tindanan penyulitan, sambungan rangkaian atau sesi pengguna.

Apa yang sebenarnya berlaku pada setiap peringkat

But bermula dengan volum tersulit yang mesti dibuka kunci sebelum wujud sistem boleh guna untuk apa-apa kerja umum. Pembukaan itu berlaku dalam konteks terhad dengan set kelayakan terhad, dan Apple mendokumenkan dengan jelas bahawa data tersulit kekal tidak boleh diakses tanpa buka kunci yang sah.

Seterusnya tetingkap log masuk, di mana sistem berjalan tetapi belum ada sesi pengguna. Sambungan dalam konteks pengguna sudah tamat jika pengguna log keluar, dan sambungan sistem global mungkin masih berjalan, tetapi berjalan bukanlah sama dengan memegang kelayakan yang diperlukan VPN anda.

Kemudian datang sesi, di mana klien biasa boleh membaca rantai kunci log masuk, meminta faktor kedua dan menggunakan laluan yang ditolak. Kebanyakan ciri yang orang gambarkan sebagai sebelum log masuk sebenarnya peringkat ini, dicetuskan awal dalam sesi dan bukan sebelumnya.

Mengapa launch daemon tidak boleh log masuk bagi pengguna yang tiada

Keistimewaan tinggi terasa sepatutnya menyelesaikan masalah, dan ia tidak. Launch daemon berjalan sebagai proses sistem tanpa sesi pengguna di belakangnya, jadi tiada rantai kunci untuk dibuka dan tiada manusia untuk menjawab permintaan. Ia boleh membuka soket dan membaca fail; apa yang tidak boleh ialah menjadi pengguna yang memiliki kelayakan itu. Keistimewaan bukan identiti, dan di sinilah kedua-duanya dikelirukan.

Apa yang orang bina dalam jurang itu ialah skrip yang mengandungi kata laluan, yang merupakan masalah lebih buruk daripada masalah asalnya.

Versi jujur keperluan itu lebih sempit. Jika mesin mesti mencapai sumber terlindung semasa tiada orang, identiti yang diterima sumber itu mesti identiti yang boleh dipegang mesin tanpa manusia: sijil peranti, kelayakan dalam rantai kunci sistem, atau akaun yang faktor keduanya bukan pemberitahuan tolak ke telefon dalam poket seseorang. Reka identiti itu dengan sengaja, dan soalan peringkat biasanya terjawab sendiri.

Ciri pra-log masuk Windows tidak berpindah

Windows mempunyai mekanisme akses pra-log masuk yang didokumenkan untuk sesetengah produk akses jauh, dan namanya lebih mudah berpindah daripada keupayaannya. Ciri yang diterangkan dalam panduan penggunaan Windows tidak memberitahu apa-apa tentang sama ada vendor yang sama melaksanakan persamaan pada macOS.

Minta penyataan yang meliputi perkakasan Mac, keluaran macOS, versi klien dan kaedah pengesahan yang benar-benar anda gunakan. Dakwaan sokongan umum tidak mencukupi, kerana perbezaan antara berfungsi dan tidak berfungsi sering terletak pada salah satu daripada empat itu.

Jika vendor tidak dapat menjawab, itulah jawapannya. Rancang peringkat sesi dan reka alternatif untuk kes tanpa kehadiran, bukan menemui jurang itu semasa penggunaan.

Apa yang patut diminta sebaliknya

Tulis keperluan dalam bahasa peringkat. Sumber mana, diperlukan oleh siapa, dalam konteks apa, dan dengan kelewatan yang boleh diterima berapa apabila sambungan belum ada?

Jika jawapannya pengguna yang log masuk dan kemudian memerlukan terowong, sambung apabila perlu dan item permulaan sudah memadai dan murah. Jika jawapannya mesin yang but semula pada waktu malam dan mesti melapor, reka bentuk memerlukan laluan buka kunci cakera yang disokong, identiti peranti dan proses pemulihan yang berfungsi apabila rangkaian tidak pernah naik. Jika jawapannya log masuk organisasi yang bergantung pada terowong, maka reka bentuk log masuk, identiti dan VPN mesti dibina bersama, bukan dibeli berasingan.

Dokumentasi FileVault Apple ialah titik permulaan yang betul untuk peringkat buka kunci. Semua selepas itu ialah persoalan klien dan identiti yang sepatutnya diselesaikan oleh penyataan vendor sebelum anda membeli.