Mac VPN On Demand: wat bewijst een SSID-overeenkomst eigenlijk?
Een SSID-overeenkomst is een regelvoorwaarde, geen bewijs van vertrouwen. Bouw de On Demand-regel, kies de standaard voor onbekende netwerken en houd de blokkering apart.
De VPN overal verbinden behalve op de Wi-Fi van kantoor klinkt als een beleid van twee regels, en het moeilijke deel is nooit het herkennen van een netwerknaam geweest. Het moeilijke deel is beslissen wat een overeenkomende naam mag bewijzen. Elk toegangspunt kan een bekende SSID uitzenden, en een geslaagde ping naar één adres bewijst alleen dat één probe antwoord kreeg. Geen van beide waarnemingen stelt vast dat de Mac op een geauthenticeerd intern netwerk staat.
Een naam is geen identiteit
Een SSID is een label dat een radio uitzendt. Het is geen sleutel, geen certificaat en geen verklaring over wie de hardware bezit, en een evenementenlocatie of een naburig kantoor kan dezelfde tekenreeks zonder enige coördinatie uitzenden. Het label als instructie behandelen om de bescherming uit te schakelen geeft de beslissing aan wie het dichtstbijzijnde toegangspunt heeft geconfigureerd.
De ping-test faalt om een subtielere reden: hij beantwoordt een vraag over bereikbaarheid, niet over lidmaatschap. Een doel dat antwoordt kan overal vandaan bereikbaar zijn, kan alleen bereikbaar zijn via de tunnel waarover u probeert te beslissen, of kan een captive portal zijn die iets teruggeeft dat op een antwoord lijkt. Bereikbaarheid is een nuttig feit en een slechte vertrouwensgrens.
Hoe On Demand een regelset evalueert
Apples On Demand-model koppelt een actie aan optionele netwerkvoorwaarden, en de regels worden in volgorde geëvalueerd: de eerste regel waarvan alle voorwaarden overeenkomen levert de actie, en de rest wordt niet geraadpleegd. Die volgorde is het beleid, daarom kan een regel die «voor de zekerheid» wordt toegevoegd stilzwijgend gedrag herschrijven dat werkte.
De SSID-voorwaarde verwijst naar het huidige primair verbonden netwerk, niet naar elke naam die in een scan zichtbaar is. Dat levert drie verschillende toestanden op, en ze tot twee terugbrengen is de gebruikelijke configuratiefout:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Configureer het waar het beleid woont
Een goedgekeurde VPN-client of een beheerworkflow is de plek waar deze regel hoort, en verschillende providers stellen verschillende subsets van de beschikbare bedieningselementen beschikbaar. Een ontbrekende optie in dat paneel betekent daarom dat de client die niet beschikbaar stelde, niet dat het platform die niet kan uitdrukken.
Automatische activering vereist ook een authenticatieregeling die zonder mens kan worden afgerond, zoals een certificaat of een andere ondersteunde methode. Een opgeslagen eenmalige code is die regeling niet, en een regel die afgaat terwijl de authenticatie niet kan worden afgerond, levert een verbindingspoging op die stil op de achtergrond mislukt.
Twee patronen die het waard zijn in het runbook te schrijven
Het eerste is de nagebootste naam. Een congreslocatie, een hotel of een huurder in hetzelfde gebouw zendt de tekenreeks uit die uw regel als «binnen» behandelt, en de bescherming schakelt precies uit waar u dat het minst wilt. De naam loog niet; de regel stelde hem een vraag die hij niet kan beantwoorden.
Het tweede is de zelfverslaande probe. Een script pingt een privéadres, ziet een antwoord via de tunnel, concludeert dat het al op het interne netwerk zit en verbreekt de verbinding. Dan faalt de probe, dus het script verbindt opnieuw en herhaalt, en de tunnel oscilleert terwijl elke afzonderlijke stap correct lijkt. Een test waarvan het resultaat van de tunnel afhangt, kan niet tegelijk beslissen of de tunnel zou moeten bestaan.
Bepaal de standaard en handhaaf die apart
Het geval van het onbekende netwerk en het geval van de kabel vragen om expliciete antwoorden in plaats van een geërfde standaard. Als beschermd verkeer geblokkeerd moet blijven terwijl het systeem het netwerk nog classificeert of de tunnel opzet, vereist dat een eigen ondersteunde handhavingscontrole; een On Demand-trigger levert verbindingsgedrag, geen blokkeringsgarantie.
Correct geschreven noemt de beheerdersregel de goedgekeurde uitzondering, het bewijs dat die rechtvaardigt en de bewuste terugval wanneer dat bewijs ontbreekt. Een Wi-Fi-naam herkennen is een legitieme invoer voor die beslissing. Het is niet de rechtvaardiging van de beslissing, en het zou nooit de enige regel moeten zijn.