Mac-VPN-administratorvarsel: installasjon, utviding eller regel?

Passordvarsel frå ein VPN-klient ser like ut og er det ikkje. Fire ulike handlingar skjuler seg bak ein liknande dialog: å skrive filer til ein verna stad under installasjon, å leggje til eller endre ein nettverkskonfigurasjon, å aktivere ei systemutviding som ber trafikk, og å følgje ein regel som ein administrasjonsserver alt har sett. Kvar har ein annan eigar, ein annan påverknadsradius og ein annan måte å stadfeste at ho virka. Å matche meldinga du ser mot ein av dei fire er heile øvinga.

Tre ulike godkjenningar ser like ut

Installatørgodkjenning er det enklaste tilfellet: ein pakke skriv til mapper ein vanleg brukar ikkje kan endre, og macOS spør om administratorlegitimasjon for å tillate det. Systemet avgjer ikkje om programvara er trygg; det avgjer om du har lov til å skrive der. Det er også grunnen til at ein pakke kan installerast reint og likevel vere ubrukeleg: installasjonsgodkjenninga seier ingenting om koden får køyre etterpå. Når han er installert, kan appen framleis trenge ei andre godkjenning før han kan påverke nettverket.

Godkjenning av nettverkskonfigurasjon dekkjer endringar i tilkoplingslista til systemet. Å leggje til ein VPN-teneste, eller endre innstillingar ein nettverksadministrator konfigurerte, krev forhøging fordi desse definisjonane påverkar kvar konto på maskina. Denne godkjenninga gjev konfigurasjonsmakt, ikkje trafikkmakt.

Utvidingsgodkjenning er den som betyr noko for korleis pakkar reiser. Ein moderne klient installerar ei systemutviding som macOS lastar inn i systemet, og macOS krev ei uttrykkeleg avgjerd i Personvern og tryggleik eller i Innloggingslement og utvidingar før ho blir aktivert. Eit fjerde tilfelle er ein administrert Mac, der ein regel alt førehandsgodkjenner utvidinga og brukaren ikkje ser nokon dialog i det heile.

Kva kvar godkjenning faktisk endrar

Ein installatør endrar filer på disken, og konsekvensane tek slutt når filene blir fjerna, bortsett frå restar. Ein nettverkskonfigurasjon legg til ein tenestedefinisjon som blir vist i tilkoplingslista og kan reaktiverast av reglar på førespurnad. Godkjenning av ei utviding endrar kva kode systemet vil laste og halde køyrande, og difor overlever ho å avinstallere den visuelle appen i nokre arbeidsflytar. Å fjerne ein apppakke fjernar ikkje alltid utvidinga, og ei utviding som blir liggjande held på nettverkprivilegia sine.

Skilnaden føreser symtomet. Installert men aldri tilkopla tyder vanlegvis at utvidinga ikkje er godkjend nokon stad; tilkopla men med innstillingar som går tilbake ved neste endring tyder vanlegvis at ein administrasjonsregel eig definisjonen.

Signatur og utgjevar avgjer svaret

Før du godkjenner, les kven som signerte tingen i staden for kva dialogikonet antydar. To lokale sjekkar er nok til å sjå signeringsstyresmakta og om vurderinga til systemet passerer på denne maskina.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Ein usignert eller unotarisert pakke er ikkje automatisk vondsinna, men han fortener ei anna avgjerd enn ein signert frå utgjevaren du meinte. Ein pakke som kom via ei melding i staden for frå utgjevaren sitt eige nettstad, er tilfellet der svaret rett og slett er nei.

Samanlikn teamidentifikatoren med den publiserte identiteten til utgjevaren i staden for å stole på visingsnamnet til appen, sidan namn er enkle å bruke om att og identifikatorar ikkje. Viss utgjevaren publiserer identifikatoren i installasjonsrettleiinga, er den sida referansen for samanlikninga og også staden der eit avvik bør meldast. Ein klient frå ein forhandlar, ein ompakka bygg eller ein portabel kopi frå eit forum fortener meir mistanke enn den signerte nedlastinga til same utgjevaren.

Når ein regel eig avgjerda

På ein bedrifts-Mac kan administratoren alt ha bestemt. Ein administrasjonsprofil kan levere VPN-definisjonen, førehandsgodkjenne utvidinga og låse tilkoplinga slik at ho ikkje kan fjernast. I eit slikt oppsett er førespurnaden om å skrive inn eit passord ofte ein førespurnad om å overstyre ei avgjerd som aldri var di.

Å senke oppstartstryggleiken eller kople frå administrasjon for å tvinge gjennom ein installasjon endrar trugselmodellen til maskina permanent for å løyse eit mellombels problem. Den byttehandelen blir sjeldan gjort medvite; han skjer vanlegvis medan ein følgjer eit foruminnlegg. Spør administratoren om den støtta vegen i staden, som kan vere så enkel som å sende profilen på nytt eller godkjenne utvidinga på serversida. Viss administratoren ikkje kan godkjenne henne, er det svaret funnet, ikkje ein hindring å gå rundt.

Stadfest tilstanden etter godkjenning

Når ei autorisert godkjenning er gjeven, verifiser kva systemet meiner i staden for kva klienten hevdar. Utvidingslista rapporterer aktiveringsstatus utan behov for noko tredjepartsverktøy.

systemextensionsctl list

Ei oppføring som blir vist som aktivert høyrer til teamidentifikatoren du sjekka tidlegare; ei oppføring som blir vist som avslutta og ventar på brukargodkjenning forklarer ein klient som startar og aldri ber trafikk. Viss varselet kjem tilbake etter kvart forsøk, ta vare på den nøyaktige meldinga og klientversjonen, fordi ei gjengidd godkjenning vanlegvis tyder at utvidinga blir erstatta utan at den førre blir deaktivert, og det er ei støttesak, ikkje eit passordproblem. Noter versjonen før du ringjer støtte, sidan rettinga kan finnast alt i ein nyare bygg og samtalen vil starte der.