VPN før pålogging på macOS: opplåsing, påloggingsvindauge, økt

Her er ei overtyding som kostar folk ei veke: at ein Mac har eitt augneblikk som heiter før pålogging, og at ein VPN-klient anten startar då eller ikkje. Maskinen har faktisk minst tre augneblikk der nettverkstilgang har noko å seie, skilde av kven som har lov til å halde legitimasjon på det punktet. Ein klient som vert starta frå eit påloggingselement dekkjer nøyaktig eitt av dei, og det er det siste.

Myten om at éi innstilling dekkjer heile oppstarten

Les produktsida på nytt og sjå etter kva steg funksjonen nemner. Ei avkryssingsboks merkt start ved pålogging tyder eit påloggingselement, som køyrer etter at ei brukarøkt finst. Ei avkryssingsboks merkt kople til ved behov tyder at klienten opnar ei sambinding når trafikken svarar til ein regel, noko som framleis krev at klienten og legitimasjonen hans er tilgjengeleg.

Ingen av dei når oppstartsprosessen. Det er ikkje ei avgrensing leverandøren har gløymt å fjerne; det er det operativsystemet tillèt. Før volumet er låst opp finst det ikkje eit køyrande system å starte ein klient frå, og etter utlogging forlèt løyndomane til brukaren økta. To separate veggar, og ingen av dei vik for ei anna avkryssingsboks.

Når du skil stega, endrar det opphavlege spørsmålet form. I staden for å spørje om VPN startar før pålogging, spør du kva av tre konkrete augneblikk som må verke, og då oppdagar du at kvart av dei har ein annan eigar: krypteringsstakken, nettverksutvidinga eller brukarøkta.

Kva som faktisk skjer i kvart steg

Oppstarten byrjar med eit kryptert volum som må låsast opp før det finst eit brukbart system for noko allment. Den opplåsinga skjer i ein avgrensa kontekst med eit avgrensa sett legitimasjon, og Apple dokumenterer tydeleg at krypterte data blir utilgjengelege utan gyldig opplåsing.

Deretter kjem påloggingsvindauget, der systemet køyrer men det enno ikkje finst noka brukarøkt. Ei utviding i brukarkontekst er allereie avslutta om brukaren logga ut, og ei global systemutviding kan framleis køyre, men å køyre er ikkje det same som å halde legitimasjonen VPN-en din treng.

Så kjem økta, der ein vanleg klient kan lese påloggingsnøkkelringen, be om ein andre faktor og bruke dytta ruter. Dei fleste funksjonane folk skildrar som før pålogging er faktisk dette steget, utløyst tidleg i økta og ikkje før henne.

Kvifor ein launch daemon ikkje kan logge på for ein fråverande brukar

Forhøgde rettar kjennest som om dei burde løyse problemet, og det gjer dei ikkje. Ein launch daemon køyrer som ein systemprosess utan ei brukarøkt bak seg, så det er ingen nøkkelring å låse opp og ingen person som svarar på ei førespurnad. Han kan opne ein socket og lese ei fil; det han ikkje kan, er å bli brukaren som eig legitimasjonen. Rettar er ikkje identitet, og det er nettopp her dei to blir blanda saman.

Det folk byggjer i det gapet, er eit skript med eit passord i, noko som er eit verre problem enn det dei byrja med.

Den ærlege versjonen av kravet er smalare. Om maskinen må nå ein verna ressurs medan ingen er til stades, må identiteten ressursen godtek vere ein maskinen kan halde utan ein person: eit einingesertifikat, ein legitimasjon i systemnøkkelringen eller ein konto der andre faktor ikkje er eit push til ein telefon i lomma til nokon. Design den identiteten med vilje, og stegspørsmålet svarar vanlegvis seg sjølv.

Windows-funksjonen før pålogging blir ikkje overført

Windows har ein dokumentert tilgangsmekanisme før pålogging for nokre fjernakssessprodukt, og namnet reiser betre enn evna. Ein funksjon skildra i ei Windows-distribusjonsrettleiing fortel deg ingenting om korvidt same leverandør implementerer ein tilsvarande på macOS.

Be om ei fråsegn som dekkjer Mac-maskinvaren, macOS-versjonen, klientversjonen og autentiseringsmetoden du faktisk brukar. Ei generell støttepåstand er ikkje nok, fordi skilnaden mellom å verke og ikkje verke ofte ligg i ein av dei fire.

Om leverandøren ikkje kan svare, er det svaret. Planlegg øktsteget og design eit alternativ for det ubemanna tilfellet, i staden for å oppdage gapet under ei utrulling.

Kva du bør be om i staden

Skriv kravet i språket til stega. Kva ressurs, naudsynt for kven, i kva kontekst, og med kva akseptabel forseinking når sambindinga enno ikkje er der?

Om svaret er ein brukar som loggar på og deretter treng tunnelen, er kople til ved behov og eit oppstartselement tilstrekkeleg og billeg. Om svaret er ein maskin som startar på nytt om natta og må rapportere, treng designet ein støtta veg for å låse opp disken, ein einingidentitet og ein gjenopprettingsprosess som verkar når nettverket aldri kjem opp. Om svaret er organisasjonspålogging som er avhengig av tunnelen, må designa for pålogging, identitet og VPN byggjast saman i staden for å kjøpast separat.

Apples FileVault-dokumentasjon er det rette utgangspunktet for opplåsingssteget. Alt etter det er eit klient- og identitetsspørsmål som ei leverandørfråsegn bør avgjere før du kjøper.