Mac VPN On Demand: kva beviser eigentleg eit SSID-treff?

Å kople til VPN overalt utanom Wi-Fi-en på kontoret høyrest ut som ein policy på to linjer, og den vanskelege delen har aldri vore å kjenne att eit nettverksnamn. Den vanskelege delen er å avgjere kva eit samsvarande namn har lov til å bevise. Kvar tilgangspunkt kan kringkaste ein kjend SSID, og ein vellukka ping til éin adresse beviser berre at éin einaste førespurnad fekk svar. Ingen av dei to observasjonane slår fast at Macen er på eit autentisert internt nettverk.

Eit namn er ikkje ein identitet

Ein SSID er ei etikett som ein radio sender ut. Det er ikkje ein nøkkel, eit sertifikat eller ei fråsegn om kven som eig maskinvara, og ein arrangementsstad eller eit nabokontor kan kringkaste den same strengen utan noka som helst koordinering. Å handsame etiketten som ein instruks om å slå av vernet overlèt avgjerda til den som konfigurerte det næraste tilgangspunktet.

Ping-testen feilar av ei meir subtil årsak: han svarar på eit spørsmål om tilgjenge, ikkje om medlemskap. Eit mål som svarar kan vere tilgjengeleg frå kvar som helst, kan berre vere tilgjengeleg gjennom tunnelen du prøver å ta stilling til, eller kan vere ein captive portal som returnerer noko som liknar eit svar. Tilgjenge er eit nyttig faktum og ei dårleg tillitsgrense.

Korleis On Demand vurderer eit regelsett

Apples On Demand-modell koplar ei handling til valfrie nettverksvilkår, og reglane blir vurderte i rekkjefølgje: den første regelen der alle vilkåra stemmer gjev handlinga, og resten blir ikkje undersøkte. Den rekkjefølgja er policyen, og difor kan ein regel som blir lagd til «for sikkerheits skuld» stille skrive om åtferd som fungerte.

SSID-vilkåret viser til det gjeldande primære tilkopla nettverket, ikkje til kvart namn som er synleg i ein skanning. Det gjev tre ulike tilstandar, og å slå dei saman til to er den vanlege konfigurasjonsfeilen:

Konfigurer det der policyen bur

Ein godkjend VPN-klient eller ein administrasjonsarbeidsflyt er staden denne regelen høyrer heime, og ulike leverandørar eksponerer ulike delmengder av dei tilgjengelege kontrollane. Eit manglande alternativ i det panelet betyr difor at klienten ikkje eksponerte det, ikkje at plattformen ikkje kan uttrykkje det.

Automatisk aktivering treng òg ei autentiseringsordning som kan fullførast utan eit menneske, til dømes eit sertifikat eller ein annan støtta metode. Ein lagra eingongskode er ikkje den ordninga, og ein regel som blir utløyst medan autentiseringa ikkje kan fullførast, gjev eit tilkoplingsforsøk som feilar stille i bakgrunnen.

To mønster som er verd å skrive i runbooken

Det første er det etterlikna namnet. Eit konferansesenter, eit hotell eller ein leigetakar i same bygget kringkastar strengen regelen din handsamar som «innanfor», og vernet slår seg av nøyaktig der du minst ville at det skulle gjere det. Namnet løy ikkje; regelen stilte det eit spørsmål det ikkje kan svare på.

Det andre er den sjølvovervinnande testen. Eit skript pingar ei privat adresse, ser eit svar gjennom tunnelen, konkluderer med at det alt er på det interne nettverket og koplar frå. Deretter feilar testen, så skriptet koplar til på nytt og gientek, og tunnelen svingar medan kvart enkelt steg ser riktig ut. Ein test der resultatet er avhengig av tunnelen kan ikkje samstundes avgjere om tunnelen burde finnast.

Avgjer standarden, og handhev han separat

Tilfellet med ukjent nettverk og tilfellet med kabel treng eksplisitte svar i staden for ein arva standard. Viss beskytta trafikk må halde fram med å vere blokkert medan systemet framleis klassifiserer nettverket eller reiser tunnelen, krev det sin eigen støtta handhevingskontroll; ein On Demand-utløysar gjev tilkoplingsåtferd, ikkje ein blokkeringsgaranti.

Riktig skriven seier administratorregelen det godkjende unntaket, prova som rettferdiggjer det og den medvitne tilbakefallsløysinga når prova manglar. Å kjenne att eit Wi-Fi-namn er ei legitim inngang til den avgjerda. Det er ikkje grunngjevinga for avgjerda, og det burde aldri vere den einaste linja i regelen.