Uma rota VPN não concede login remoto no seu Mac

Entrar numa VPN de trabalho não diz nada, por si só, sobre se alguém pode iniciar sessão no seu Mac a partir de outro lugar. Três coisas separadas têm de coincidir: um caminho de rede que chegue à máquina, um serviço de acesso em execução e a permissão para uma conta específica usar esse serviço. O túnel fornece apenas a primeira. Tudo o resto nesta página trata de verificar as outras duas sem dar a resposta por certa.

Comece pelo serviço ou pelo componente instalado que forneceria acesso remoto, e pare de deduzi-lo a partir de um indicador de estado ligado na barra de menus.

Três controlos que as pessoas fundem num só

A alcançabilidade responde se os pacotes podem chegar. Um serviço de partilha responde se algo está a escutar na máquina. A autorização responde que identidades o serviço aceita e o que podem tocar depois de entrarem. Uma VPN pode mudar a primeira resposta sem tocar nas outras duas, e é exatamente por isso que a pergunta continua a produzir conclusões erradas nos dois sentidos.

As orientações da Apple sobre o Remote Login são um bom exemplo concreto dessa separação, porque ficam num sítio específico e trazem as suas próprias escolhas de conta. Estão em Definições do Sistema, Geral, Partilha, e descrevem o acesso SSH e SFTP com uma seleção de utilizadores permitidos. O acesso total ao disco para utilizadores remotos é outra opção à parte, o que reforça a ideia: ativar um serviço não é o mesmo que conceder todas as capacidades que o serviço pode oferecer.

Verifique o que está realmente ativado

Percorra o painel Partilha e anote cada serviço que esteja ligado, não apenas aquele que esperava. Remote Login, Partilha de Ecran e Partilha de Ficheiros abrem cada um uma superfície diferente, e cada um tem a sua própria lista de utilizadores. Uma definição para SSH não diz nada sobre partilha de ecrã, e a presença de uma funcionalidade de partilha no sistema operativo não diz nada sobre se alguém a usou.

Depois inventarie o que mais poderia dar acesso: um agente de suporte remoto de terceiros, uma ferramenta de gestão instalada durante o registo ou um servidor de partilha de ecrã incluído com outra coisa. Estes não aparecem no painel Partilha, e são precisamente os componentes que as pessoas esquecem ao auditar um portátil. Anote cada agente que não conseguir identificar, porque um processo desconhecido com uma porta à escuta é mais interessante do que um conhecido sem nenhuma. Uma lista curta de desconhecidos vale mais do que uma conclusão segura construída sobre o único painel que abriu por acaso.

Pergunte ao administrador o que o registo instalou

Se o registo de trabalho incluiu um perfil de configuração, uma aprovação de um administrador ou software adicional, peça à pessoa que o gere que responda a três coisas: que componentes foram instalados, que permissões têm e o que permanece ativo depois de desligar a ligação. Uma rota VPN e um agente privilegiado de ponto final têm capacidades muito diferentes, e normalmente só um deles é visível para o utilizador.

Para um acordo de suporte remoto permitido, obtenha os detalhes por escrito: que utilizadores estão autorizados, que operações se pretendem, se aparece um pedido de confirmação e como o acordo é removido quando o trabalho termina. Não conceda acesso a todos os utilizadores nem permissões de disco amplas só para testar se o suporte consegue ligar-se, porque esse teste alarga a fronteira de forma permanente.

Se encontrar provas que não esperava

Um registo de ligações desconhecido ou um interruptor ativado é uma pista, não uma prova da atividade de uma pessoa específica. Preserve os eventos relevantes que não sejam secretos, anote as horas e use o processo de incidentes da organização ou da plataforma em vez de confrontar alguém ou apagar provas na esperança de que se resolva sozinho.

Num dispositivo gerido, peça ao proprietário que reveja as alterações propostas antes de desativar um controlo exigido pela política. Num dispositivo pessoal ligado a uma rede de trabalho, peça um limite claro de registo e um procedimento de saída suportado, incluindo o que é removido e o que fica.

A resposta útil nomeia o mecanismo e a autoridade por trás dele. Nunca promete acesso ilimitado do empregador nem segurança total por causa de uma etiqueta de túnel, e não confunde uma rota com um início de sessão.