Mac-VPN-beheerdersprompt: installatie, extensie of beleid?

Wachtwoordprompts van een VPN-client lijken uitwisselbaar en zijn dat niet. Vier verschillende acties schuilen achter een vergelijkbaar dialoogvenster: bestanden schrijven naar een beschermde locatie tijdens de installatie, een netwerkconfiguratie toevoegen of wijzigen, een systeemextensie activeren die verkeer draagt, en voldoen aan een beleid dat een beheerserver al heeft ingesteld. Elk heeft een andere eigenaar, een andere impact en een andere manier om te controleren of het werkte. Het bericht dat u ziet aan een van die vier koppelen is de hele oefening.

Drie verschillende goedkeuringen zien er hetzelfde uit

Installatieautorisatie is het eenvoudigste geval: een pakket schrijft naar mappen die een standaardgebruiker niet kan wijzigen, en macOS vraagt om beheerdersreferenties om dat toe te staan. Het systeem beslist niet of de software veilig is; het beslist of u daar mag schrijven. Daarom kan een pakket schoon installeren en toch nutteloos zijn: de installatiegoedkeuring zegt niets over of de code daarna mag draaien. Na de installatie kan de app nog een tweede goedkeuring nodig hebben voordat hij het netwerk kan beïnvloeden.

Autorisatie van de netwerkconfiguratie omvat wijzigingen in de verbindingslijst van het systeem. Een VPN-dienst toevoegen, of instellingen wijzigen die een netwerkbeheerder heeft geconfigureerd, vereist verhoging omdat die definities elk account op de machine beïnvloeden. Deze goedkeuring geeft configuratiebevoegdheid, geen verkeersbevoegdheid.

Extensiegoedkeuring is degene die ertoe doet voor hoe pakketten reizen. Een moderne client installeert een systeemextensie die macOS in het systeem laadt, en macOS vereist een expliciete beslissing in Privacy en beveiliging of in Inlogvoorwerpen en extensies voordat die wordt geactiveerd. Een vierde geval is een beheerde Mac, waar een beleid de extensie al vooraf goedkeurt en de gebruiker helemaal geen dialoogvenster ziet.

Wat elke goedkeuring werkelijk verandert

Een installatieprogramma wijzigt bestanden op schijf, en de gevolgen eindigen wanneer de bestanden worden verwijderd, afgezien van resten. Een netwerkconfiguratie voegt een servicedefinitie toe die in de verbindingslijst verschijnt en opnieuw kan worden geactiveerd door regels op aanvraag. Goedkeuring van een extensie wijzigt welke code het systeem laadt en blijft draaien, waardoor die in sommige werkstromen het verwijderen van de zichtbare app overleeft. Een app-bundel verwijderen verwijdert niet altijd de extensie, en een achtergebleven extensie behoudt zijn netwerkprivileges.

Het onderscheid voorspelt het symptoom. Geïnstalleerd maar nooit verbonden betekent meestal dat de extensie nergens is goedgekeurd; verbonden maar met instellingen die bij de volgende wijziging terugspringen betekent meestal dat een beheersbeleid de definitie bezit.

Handtekening en uitgever bepalen het antwoord

Lees voor het goedkeuren wie het heeft ondertekend in plaats van wat het pictogram van het dialoogvenster suggereert. Twee lokale controles volstaan om de ondertekeningsautoriteit te zien en of de beoordeling van het systeem op deze machine slaagt.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Een niet-ondertekende of niet-genotariseerde bundel is niet automatisch kwaadaardig, maar verdient een andere beslissing dan een ondertekende van de leverancier die u bedoelde. Een pakket dat via een bericht binnenkwam in plaats van van de eigen site van de leverancier, is het geval waarin het antwoord simpelweg nee is.

Vergelijk de teamidentificatie met de gepubliceerde identiteit van de leverancier in plaats van de weergavenaam van de app te vertrouwen, omdat namen eenvoudig te hergebruiken zijn en identificaties niet. Als de leverancier de identificatie in zijn installatiehandleiding publiceert, is die pagina de referentie voor de vergelijking en ook de plek waar een afwijking moet worden gemeld. Een client van een wederverkoper, een herverpakte build of een draagbare kopie van een forum verdient meer wantrouwen dan de ondertekende download van dezelfde leverancier.

Wanneer een beleid de beslissing bezit

Op een zakelijke Mac heeft de beheerder mogelijk al beslist. Een beheerprofiel kan de VPN-definitie leveren, de extensie vooraf goedkeuren en de verbinding vergrendelen zodat die niet kan worden verwijderd. In die opzet is het verzoek om een wachtwoord in te voeren vaak een verzoek om een beslissing te overschrijven die nooit van u was.

Het verlagen van de opstartbeveiliging of het loskoppelen van beheer om een installatie af te dwingen, verandert het dreigingsmodel van de machine permanent om een tijdelijk probleem op te lossen. Die ruil wordt zelden bewust gedaan; het gebeurt meestal bij het volgen van een forumbericht. Vraag de beheerder in plaats daarvan om het ondersteunde pad, dat zo eenvoudig kan zijn als het profiel opnieuw versturen of de extensie aan de serverkant goedkeuren. Als de beheerder het niet kan goedkeuren, is dat antwoord de bevinding, geen obstakel om omheen te gaan.

Bevestig de status na goedkeuring

Zodra een geautoriseerde goedkeuring is gegeven, controleer wat het systeem denkt in plaats van wat de client beweert. De extensielijst meldt de activeringsstatus zonder enig hulpmiddel van derden.

systemextensionsctl list

Een vermelding die als geactiveerd wordt getoond, hoort bij de teamidentificatie die u eerder controleerde; een vermelding die als beëindigd wordt getoond terwijl er op gebruikersgoedkeuring wordt gewacht, verklaart een client die start en nooit verkeer draagt. Als de prompt na elke poging terugkomt, leg dan het exacte bericht en de clientversie vast, want een herhaalde goedkeuring betekent meestal dat de extensie wordt vervangen zonder dat de vorige is gedeactiveerd, en dat is een supportgeval, geen wachtwoordprobleem. Noteer de versie voordat u support belt, want de oplossing bestaat misschien al in een nieuwere build en het gesprek begint daar.