VPN qabel id-dħul fuq macOS: tħoll, tieqa tad-dħul, sessjoni
It-tħoll ta' FileVault, it-tieqa tad-dħul u sessjoni ta' utent huma stadji separati. Klijent tad-desktop li jibda fid-dħul isolvi biss l-aħħar waħda minnhom.
Hawn twemmin li jiswa ġimgħa lin-nies: li Mac għandu mument wieħed imsejjaħ qabel id-dħul, u li klijent VPN jew jibda dak il-ħin jew le. Il-magna fil-fatt għandha mill-inqas tliet mumenti fejn l-aċċess għan-netwerk huwa importanti, separati minn min huwa permess iżomm kredenzjali f'dak il-punt. Klijent mnedija minn element tad-dħul tkopri eżattament wieħed minnhom, u huwa l-aħħar wieħed.
Il-mit li setting wieħed ikopri l-bidu kollu
Aqra mill-ġdid il-paġna tal-prodott u ara liema stadju jismi l-karatteristika. Kaxxa bil-marka ibda fid-dħul tfisser element tad-dħul, li jaħdem wara li teżisti sessjoni tal-utent. Kaxxa bil-marka qabbad meta meħtieġ tfisser li l-klijent jiftaħ konnessjoni meta t-traffiku jaqbel ma' regola, li xorta teħtieġ li l-klijent u l-kredenzjali tiegħu jkunu disponibbli.
L-ebda waħda minnhom ma tilħaq il-proċess tal-bidu. Dan mhuwiex limitazzjoni li l-fornitur insa jneħħi; dan huwa dak li jippermetti s-sistema operattiva. Qabel ma jiġi mħoll il-volum m'hemmx sistema taħdem minn fejn tinbeda klijent, u wara l-ħruġ is-sigrieti tal-utent jitilqu mas-sessjoni. Żewġ ħitan separati, u l-ebda wieħed ma jċedi għal kaxxa oħra.
Malli tissepara l-istadji, il-mistoqsija oriġinali tibdel forma. Minflok ma tistaqsi jekk il-VPN jibdiex qabel id-dħul, tistaqsi liema minn tliet mumenti speċifiċi trid taħdem, u mbagħad tiskopri li kull wieħed għandu sid differenti: il-munzell tal-kriptaġġ, l-estensjoni tan-netwerk jew is-sessjoni tal-utent.
X'jiġri fil-fatt f'kull stadju
Il-bidu jibda b'volum kriptat li jrid jiġi mħoll qabel ma teżisti sistema użabbli għal xi ħaġa ġenerali. Dan it-tħoll iseħħ f'kuntest ristrett b'sett ristrett ta' kredenzjali, u Apple tiddokumenta b'mod ċar li d-dejta kriptata tibqa' inaċċessibbli mingħajr tħoll validu.
Imbagħad tiġi t-tieqa tad-dħul, fejn is-sistema taħdem imma għadha m'hemmx sessjoni tal-utent. Estensjoni fil-kuntest tal-utent tkun diġà spiċċat jekk l-utent ħareġ, u estensjoni globali tas-sistema tista' għadha taħdem, imma li taħdem mhuwiex l-istess bħall iżżomm il-kredenzjali li jeħtieġ il-VPN tiegħek.
Imbagħad tiġi s-sessjoni, fejn klijent normali jista' jaqra l-keychain tad-dħul, jitlob tieni fattur u japplika r-rotot imbuttati. Il-biċċa l-kbira tal-karatteristiċi li n-nies jiddeskrivu bħala qabel id-dħul huma fil-fatt dan l-istadju, attivat kmieni fis-sessjoni u mhux qablu.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
Għaliex launch daemon ma jistax jidħol għal utent assenti
Il-privileġġ għoli jaħseb li għandu jsolvi l-problema, u ma jsolvihiex. Launch daemon jaħdem bħala proċess tas-sistema mingħajr sessjoni tal-utent warajh, għalhekk m'hemmx keychain x'tħoll u m'hemmx bniedem li jwieġeb talba. Jista' jiftaħ socket u jaqra fajl; dak li ma jistax jagħmel huwa li jsir l-utent li għandu l-kredenzjali. Il-privileġġ mhuwiex identità, u hawn preċiżament it-tnejn jiġu konfużi.
Dak li n-nies jibnu f'dak il-vojt huwa skript b'password ġo fih, li hija problema agħar minn dik li bdew biha.
Il-verżjoni onesta tar-rekwiżit hija iżjed dejqa. Jekk il-magna trid tilħaq riżorsa protetta waqt li ħadd mhu preżenti, l-identità li tirrikonoxxi dik ir-riżorsa trid tkun waħda li l-magna tista' żżomm mingħajr persuna: ċertifikat tal-apparat, kredenzjali fil-keychain tas-sistema jew kont li t-tieni fattur tiegħu mhuwiex notifika push lil telefon fil-but ta' xi ħadd. Iddisinja dik l-identità apposta, u l-mistoqsija tal-istadju normalment tweġib ruħha.
Il-karatteristika ta' Windows qabel id-dħul mhijiex trasferibbli
Windows għandu mekkaniżmu dokumentat ta' aċċess qabel id-dħul għal xi prodotti ta' aċċess mill-bogħod, u l-isem jivvjaġġa aħjar mill-kapaċità. Karatteristika deskritta f'gwida tat-twaqqif ta' Windows ma tgħidlek xejn dwar jekk l-istess fornitur jimplimentax ekwivalenti fuq macOS.
Itlob stqarrija li tkopri l-ħardwer tal-Mac, il-verżjoni tal-macOS, il-verżjoni tal-klijent u l-metodu ta' awtentikazzjoni li tassew tuża. Talba ġenerali ta' appoġġ mhijiex biżżejjed, għax id-differenza bejn jaħdem u ma jaħdimx spiss tinsab f'wieħed minn dawk l-erbgħa.
Jekk il-fornitur ma jistax iwieġeb, dik hija t-tweġiba. Ippjana l-istadju tas-sessjoni u ddisinja alternattiva għall-każ mingħajr sorveljanza, minflok ma tiskopri l-vojt waqt varar.
X'talab minflok
Ikteb ir-rekwiżit fil-lingwa tal-istadji. Liema riżorsa, meħtieġa minn min, f'liema kuntest, u b'liema dewmien aċċettabbli meta l-konnessjoni għadha mhijiex hemm?
Jekk it-tweġiba hija utent li jidħol u mbagħad jeħtieġ it-tunnel, qabbad meta meħtieġ u element tal-bidu huma biżżejjed u rħas. Jekk it-tweġiba hija magna li terġa' tibda bil-lejl u trid tirrapporta, id-disinn jeħtieġ passaġġ appoġġat biex jitħoll id-diska, identità tal-apparat u proċess ta' rkupru li jaħdem meta n-netwerk qatt ma jitla'. Jekk it-tweġiba hija dħul tal-organizzazzjoni li jiddependi mit-tunnel, allura d-disinji tad-dħul, tal-identità u tal-VPN iridu jinbnew flimkien u mhux jinxtraw separatament.
Id-dokumentazzjoni FileVault ta' Apple hija l-punt tat-tluq it-tajjeb għall-istadju tat-tħoll. Kull ma jiġi wara hija kwistjoni ta' klijent u identità li stqarrija tal-fornitur għandha ssolvi qabel tixtri.