Mac VPN On Demand: co właściwie dowodzi zgodność SSID?
Zgodność SSID to warunek reguły, a nie dowód zaufania. Zbuduj regułę On Demand, wybierz wartość domyślną dla nieznanych sieci i trzymaj blokadę osobno.
Podłączanie VPN wszędzie poza Wi-Fi biurowym brzmi jak polityka w dwóch linijkach, a trudną częścią nigdy nie było rozpoznanie nazwy sieci. Trudną częścią jest zdecydowanie, czego zgodna nazwa może dowodzić. Każdy punkt dostępowy może rozgłaszać znajomy SSID, a udany ping do jednego adresu dowodzi tylko, że jedna sonda otrzymała odpowiedź. Żadna z tych obserwacji nie ustala, że Mac jest w uwierzytelnionej sieci wewnętrznej.
Nazwa to nie tożsamość
SSID to etykieta, którą emituje radio. Nie jest kluczem, certyfikatem ani oświadczeniem o tym, do kogo należy sprzęt, a miejsce wydarzenia lub sąsiednie biuro może rozgłaszać ten sam ciąg bez żadnej koordynacji. Potraktowanie etykiety jako polecenia wyłączenia ochrony oddaje decyzję temu, kto skonfigurował najbliższy punkt dostępowy.
Test ping zawodzi z subtelniejszego powodu: odpowiada na pytanie o osiągalność, a nie o przynależność. Cel, który odpowiada, może być osiągalny z dowolnego miejsca, może być osiągalny tylko przez tunel, o którym próbujesz zdecydować, albo może być portalem przechwytującym, który zwraca coś przypominającego odpowiedź. Osiągalność to przydatny fakt i zła granica zaufania.
Jak On Demand ocenia zestaw reguł
Model On Demand firmy Apple łączy akcję z opcjonalnymi warunkami sieciowymi, a reguły są oceniane po kolei: pierwsza reguła, której wszystkie warunki pasują, dostarcza akcję, a pozostałe nie są brane pod uwagę. Ta kolejność jest polityką, dlatego reguła dodana «na wszelki wypadek» może po cichu przepisać działające zachowanie.
Warunek SSID dotyczy bieżącej podstawowej połączonej sieci, a nie każdej nazwy widocznej w skanie. Daje to trzy różne stany, a sprowadzanie ich do dwóch to typowy błąd konfiguracji:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Skonfiguruj to tam, gdzie mieszka polityka
Zatwierdzony klient VPN lub przepływ pracy zarządzania to miejsce, do którego należy ta reguła, a różni dostawcy udostępniają różne podzbiory dostępnych kontrolek. Brakująca opcja w tym panelu oznacza więc, że klient jej nie udostępnił, a nie że platforma nie potrafi jej wyrazić.
Automatyczna aktywacja wymaga też rozwiązania uwierzytelniania, które może zakończyć się bez człowieka, na przykład certyfikatu lub innej obsługiwanej metody. Zapisany kod jednorazowy nie jest takim rozwiązaniem, a reguła, która uruchamia się, gdy uwierzytelnianie nie może się zakończyć, tworzy próbę połączenia, która po cichu zawodzi w tle.
Dwa wzorce warte zapisania w runbooku
Pierwszy to nazwa podszywająca się. Miejsce konferencji, hotel lub najemca w tym samym budynku rozgłasza ciąg, który twoja reguła traktuje jako «wewnątrz», i ochrona wyłącza się dokładnie tam, gdzie najmniej byś tego chciał. Nazwa nie skłamała; reguła zadała jej pytanie, na które nie może ona odpowiedzieć.
Drugi to sonda, która sama się pokonuje. Skrypt pinguje prywatny adres, widzi odpowiedź przez tunel, dochodzi do wniosku, że jest już w sieci wewnętrznej, i rozłącza się. Potem sonda zawodzi, więc skrypt łączy się ponownie i powtarza, a tunel oscyluje, podczas gdy każdy pojedynczy krok wygląda poprawnie. Test, którego wynik zależy od tunelu, nie może jednocześnie decydować, czy tunel powinien istnieć.
Zdecyduj o wartości domyślnej i egzekwuj ją osobno
Przypadek nieznanej sieci i przypadek kabla wymagają wyraźnych odpowiedzi zamiast odziedziczonej wartości domyślnej. Jeśli chroniony ruch ma pozostać zablokowany, gdy system wciąż klasyfikuje sieć lub podnosi tunel, wymaga to własnej obsługiwanej kontroli egzekwowania; wyzwalacz On Demand daje zachowanie połączenia, a nie gwarancję blokady.
Napisana poprawnie reguła administratora podaje zatwierdzony wyjątek, dowody, które go uzasadniają, oraz świadome wycofanie, gdy tych dowodów brakuje. Rozpoznanie nazwy Wi-Fi jest legalnym wejściem tej decyzji. Nie jest uzasadnieniem decyzji i nigdy nie powinno być jedyną linią reguły.