Monit administratora VPN na Macu: instalacja, rozszerzenie czy zasada?

Monity o hasło z klienta VPN wyglądają podobnie i takie nie są. Za podobnym okienkiem kryją się cztery różne działania: zapis plików w chronionym miejscu podczas instalacji, dodanie lub zmiana konfiguracji sieci, aktywacja rozszerzenia systemowego, które przenosi ruch, oraz stosowanie się do zasady ustawionej już przez serwer zarządzania. Każde ma innego właściciela, inny zasięg i inny sposób sprawdzenia, czy zadziałało. Dopasowanie widocznego komunikatu do jednego z tych czterech to całe ćwiczenie.

Trzy różne zatwierdzenia wyglądają tak samo

Autoryzacja instalatora to najprostszy przypadek: pakiet zapisuje w katalogach, których zwykły użytkownik nie może zmieniać, a macOS prosi o dane administratora, aby na to pozwolić. System nie decyduje, czy oprogramowanie jest bezpieczne; decyduje, czy wolno ci tam pisać. Dlatego pakiet może zainstalować się czysto i nadal być bezużyteczny: zatwierdzenie instalacji nic nie mówi o tym, czy kod będzie mógł działać później. Po instalacji aplikacja może nadal potrzebować drugiego zatwierdzenia, zanim wpłynie na sieć.

Autoryzacja konfiguracji sieci obejmuje zmiany na liście połączeń systemu. Dodanie usługi VPN lub zmiana ustawień skonfigurowanych przez administratora sieci wymaga podniesienia uprawnień, ponieważ te definicje dotyczą każdego konta na maszynie. To zatwierdzenie daje uprawnienia do konfiguracji, a nie do ruchu.

Zatwierdzenie rozszerzenia jest tym, które ma znaczenie dla sposobu podróżowania pakietów. Współczesny klient instaluje rozszerzenie systemowe, które macOS ładuje do systemu, a macOS wymaga wyraźnej decyzji w sekcji Prywatność i bezpieczeństwo lub Elementy logowania i rozszerzenia przed jego aktywacją. Czwarty przypadek to zarządzany Mac, gdzie zasada z góry zatwierdza rozszerzenie, a użytkownik nie widzi żadnego okna.

Co naprawdę zmienia każde zatwierdzenie

Instalator zmienia pliki na dysku, a jego skutki kończą się po usunięciu plików, poza pozostałościami. Konfiguracja sieci dodaje definicję usługi, która pojawia się na liście połączeń i może zostać ponownie aktywowana przez reguły na żądanie. Zatwierdzenie rozszerzenia zmienia to, jaki kod system będzie ładował i utrzymywał w działaniu, dlatego w niektórych procesach przeżywa odinstalowanie widocznej aplikacji. Usunięcie pakietu aplikacji nie zawsze usuwa jej rozszerzenia, a pozostawione rozszerzenie zachowuje swoje uprawnienia sieciowe.

Ta różnica przewiduje objaw. Zainstalowane, ale nigdy niepołączone zwykle oznacza, że rozszerzenie nie jest nigdzie zatwierdzone; łączy się, ale ustawienia wracają przy następnej zmianie zwykle oznacza, że definicją zarządza zasada zarządzania.

Podpis i wydawca decydują o odpowiedzi

Przed zatwierdzeniem przeczytaj, kto to podpisał, a nie co sugeruje ikona okna. Dwa lokalne testy wystarczą, aby zobaczyć organ podpisujący i sprawdzić, czy ocena systemu przechodzi na tej maszynie.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Niepodpisany lub niepoddany notaryzacji pakiet nie jest automatycznie złośliwy, ale zasługuje na inną decyzję niż podpisany pakiet wydawcy, którego mieliście na myśli. Pakiet, który przyszedł w wiadomości, a nie z witryny wydawcy, to przypadek, w którym odpowiedź jest po prostu nie.

Porównaj identyfikator zespołu z opublikowaną tożsamością wydawcy, zamiast ufać nazwie wyświetlanej aplikacji, ponieważ nazwy łatwo użyć ponownie, a identyfikatorów nie. Jeśli wydawca publikuje identyfikator w instrukcji instalacji, ta strona jest odniesieniem do porównania i zarazem miejscem, w którym należy zgłosić niezgodność. Klient od sprzedawcy, przepakowany build lub kopia przenośna z forum zasługuje na więcej podejrzliwości niż podpisane pobranie tego samego wydawcy.

Gdy zasada jest właścicielem decyzji

Na firmowym Macu administrator mógł już zdecydować. Profil zarządzania może dostarczyć definicję VPN, wstępnie zatwierdzić rozszerzenie i zablokować połączenie tak, aby nie można go było usunąć. W takim układzie prośba o wpisanie hasła jest często prośbą o unieważnienie decyzji, która nigdy nie była twoja.

Obniżenie bezpieczeństwa rozruchu lub odłączenie zarządzania, aby wymusić instalację, trwale zmienia model zagrożeń maszyny, aby rozwiązać tymczasowy problem. Ta wymiana rzadko jest dokonywana świadomie; zwykle dzieje się podczas podążania za wpisem na forum. Zamiast tego poproś administratora o wspieraną ścieżkę, która może być tak prosta, jak ponowne wysłanie profilu lub zatwierdzenie rozszerzenia po stronie serwera. Jeśli administrator nie może go zatwierdzić, ta odpowiedź jest ustaleniem, a nie przeszkodą do obejścia.

Potwierdź stan po zatwierdzeniu

Po udzieleniu autoryzowanego zatwierdzenia sprawdź, co myśli system, a nie co twierdzi klient. Lista rozszerzeń podaje stan aktywacji bez żadnego narzędzia firmy trzeciej.

systemextensionsctl list

Wpis pokazany jako aktywowany należy do identyfikatora zespołu, który sprawdzono wcześniej; wpis pokazany jako zakończony i oczekujący na zatwierdzenie użytkownika wyjaśnia klienta, który startuje i nigdy nie przenosi ruchu. Jeśli monit wraca po każdej próbie, zapisz dokładny komunikat i wersję klienta, ponieważ powtarzające się zatwierdzenie zwykle oznacza, że rozszerzenie jest zastępowane bez dezaktywacji poprzedniego, a to sprawa dla pomocy technicznej, nie problem z hasłem. Zanotuj wersję przed kontaktem z pomocą, ponieważ poprawka może już istnieć w nowszym buildzie i rozmowa zacznie się od tego.