Mac VPN On Demand: apakah sebenarnya yang dibuktikan oleh padanan SSID?
Padanan SSID ialah syarat peraturan, bukan bukti kepercayaan. Bina peraturan On Demand, pilih nilai lalai untuk rangkaian tidak dikenali dan kekalkan penyekatan secara berasingan.
Menyambung VPN di merata tempat kecuali Wi-Fi pejabat kedengaran seperti dasar dua baris, dan bahagian yang sukar tidak pernah pun mengenal nama rangkaian. Bahagian yang sukar ialah memutuskan apa yang boleh dibuktikan oleh nama yang sepadan. Mana-mana titik akses boleh menyiarkan SSID yang biasa, dan ping yang berjaya ke satu alamat hanya membuktikan bahawa satu siasatan mendapat jawapan. Kedua-dua pemerhatian itu tidak membuktikan bahawa Mac berada pada rangkaian dalaman yang disahkan.
Nama bukan identiti
SSID ialah label yang dipancarkan oleh radio. Ia bukan kunci, sijil atau kenyataan tentang siapa pemilik perkakasan itu, dan sesebuah tempat acara atau pejabat jiran boleh menyiarkan rentetan yang sama tanpa sebarang penyelarasan. Menganggap label itu sebagai arahan untuk mematikan perlindungan menyerahkan keputusan kepada sesiapa yang mengkonfigurasi titik akses terdekat.
Ujian ping gagal atas sebab yang lebih halus: ia menjawab soalan tentang kebolehcapaian, bukan tentang keahlian. Sasaran yang bertindak balas mungkin boleh dicapai dari mana-mana, mungkin hanya boleh dicapai melalui terowong yang cuba anda putuskan, atau mungkin portal captive yang memulangkan sesuatu yang kelihatan seperti jawapan. Kebolehcapaian ialah fakta yang berguna dan sempadan kepercayaan yang buruk.
Bagaimana On Demand menilai satu set peraturan
Model On Demand Apple memasangkan tindakan dengan syarat rangkaian pilihan, dan peraturan dinilai mengikut urutan: peraturan pertama yang semua syaratnya sepadan memberikan tindakan itu, dan selebihnya tidak dirujuk. Urutan itulah dasar, sebab itu peraturan yang ditambah «untuk berjaga-jaga» boleh menulis semula tingkah laku yang berfungsi secara senyap.
Syarat SSID merujuk kepada rangkaian bersambung utama semasa, bukan setiap nama yang kelihatan dalam imbasan. Itu menghasilkan tiga keadaan berbeza, dan merangkumkannya menjadi dua ialah kesilapan konfigurasi biasa:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Konfigurasikannya di tempat dasar itu tinggal
Klien VPN yang diluluskan atau aliran kerja pengurusan ialah tempat peraturan ini patut berada, dan penyedia berbeza mendedahkan subset kawalan yang tersedia yang berbeza. Pilihan yang tiada dalam panel itu bermaksud klien tidak mendedahkannya, bukan bahawa platform tidak boleh menyatakannya.
Pengaktifan automatik juga memerlukan susunan pengesahan yang boleh selesai tanpa manusia, seperti sijil atau kaedah lain yang disokong. Kod sekali guna yang disimpan bukan susunan itu, dan peraturan yang tercetus semasa pengesahan tidak dapat diselesaikan menghasilkan percubaan sambungan yang gagal secara senyap di latar belakang.
Dua corak yang wajar ditulis dalam runbook
Yang pertama ialah nama peniru. Tempat persidangan, hotel atau penyewa dalam bangunan yang sama menyiarkan rentetan yang dianggap «di dalam» oleh peraturan anda, dan perlindungan terpadam tepat di tempat yang paling anda tidak mahu. Nama itu tidak berbohong; peraturan itu bertanya kepadanya soalan yang tidak dapat dijawabnya.
Yang kedua ialah siasatan yang mengalahkan dirinya sendiri. Skrip melakukan ping ke alamat peribadi, melihat tindak balas melalui terowong, membuat kesimpulan bahawa ia sudah berada pada rangkaian dalaman dan memutuskan sambungan. Siasatan kemudian gagal, jadi skrip menyambung semula dan mengulangi, dan terowong berayun sementara setiap langkah kelihatan betul. Ujian yang hasilnya bergantung pada terowong tidak boleh sekali gus memutuskan sama ada terowong itu patut wujud.
Putuskan nilai lalai, kemudian kuatikannya secara berasingan
Kes rangkaian tidak dikenali dan kes kabel memerlukan jawapan yang jelas dan bukan nilai lalai yang diwarisi. Jika trafik yang dilindungi mesti kekal disekat semasa sistem masih mengelaskan rangkaian atau menaikkan terowong, itu memerlukan kawalan penguatkuasaan tersendiri yang disokong; pencetus On Demand menyediakan tingkah laku sambungan, bukan jaminan penyekatan.
Ditulis dengan betul, peraturan pentadbir menyatakan pengecualian yang diluluskan, bukti yang mewajarkannya dan pengunduran yang disengajakan apabila bukti itu tiada. Mengenal nama Wi-Fi ialah input sah untuk keputusan itu. Ia bukan justifikasi keputusan itu, dan ia tidak sepatutnya menjadi satu-satunya baris dalam peraturan.