Mac VPN On Demand: o que uma correspondência de SSID realmente prova?
Uma correspondência de SSID é uma condição de regra, não uma prova de confiança. Construa a regra On Demand, escolha o valor predefinido das redes desconhecidas e mantenha o bloqueio à parte.
Conectar a VPN em todos os lugares exceto no Wi-Fi do escritório soa como uma política de duas linhas, e a parte difícil nunca foi reconhecer o nome de uma rede. A parte difícil é decidir o que um nome correspondente pode provar. Qualquer ponto de acesso pode anunciar um SSID conhecido, e um ping bem-sucedido para um endereço prova apenas que uma sonda recebeu resposta. Nenhuma das duas observações estabelece que o Mac esteja numa rede interna autenticada.
Um nome não é uma identidade
Um SSID é um rótulo que um rádio transmite. Não é uma chave, um certificado nem uma declaração sobre quem possui o hardware, e um local de evento ou um escritório vizinho pode difundir a mesma cadeia sem qualquer coordenação. Tratar o rótulo como uma instrução para desligar a proteção entrega a decisão a quem configurou o ponto de acesso mais próximo.
O teste de ping falha por uma razão mais subtil: responde a uma pergunta sobre alcançabilidade, não sobre pertença. Um alvo que responde pode ser alcançável de qualquer lugar, pode sê-lo apenas através do túnel sobre o qual tenta decidir, ou pode ser um portal cativo que devolve algo que parece uma resposta. A alcançabilidade é um facto útil e uma má fronteira de confiança.
Como o On Demand avalia um conjunto de regras
O modelo On Demand da Apple emparelha uma ação com condições de rede opcionais, e as regras são avaliadas por ordem: a primeira regra cujas condições correspondem todas fornece a ação, e as restantes não são consultadas. Essa ordem é a política, e é por isso que uma regra acrescentada «por precaução» pode reescrever silenciosamente um comportamento que funcionava.
A condição SSID refere-se à rede ligada primária atual, não a cada nome visível numa análise. Isso produz três estados distintos, e reduzi-los a dois é o erro de configuração habitual:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Configure-o onde vive a política
Um cliente VPN aprovado ou um fluxo de trabalho de gestão é o lugar a que esta regra pertence, e fornecedores diferentes expõem subconjuntos diferentes dos controlos disponíveis. Uma opção ausente nesse painel significa, portanto, que o cliente não a expôs, e não que a plataforma não a possa exprimir.
A ativação automática também exige um mecanismo de autenticação que possa concluir-se sem uma pessoa, como um certificado ou outro método suportado. Um código de uso único armazenado não é esse mecanismo, e uma regra que dispara enquanto a autenticação não pode concluir-se produz uma tentativa de ligação que falha em silêncio em segundo plano.
Dois padrões que merecem entrar no runbook
O primeiro é o nome imitador. Um local de conferências, um hotel ou um inquilino do mesmo edifício anuncia a cadeia que a sua regra trata como «dentro», e a proteção desliga-se exatamente onde menos o desejaria. O nome não mentiu; a regra fez-lhe uma pergunta a que ele não pode responder.
O segundo é a sonda que se derrota a si mesma. Um script faz ping a um endereço privado, vê uma resposta através do túnel, conclui que já está na rede interna e desliga-se. Depois a sonda falha, por isso o script volta a ligar-se e repete, e o túnel oscila enquanto cada passo individual parece correto. Um teste cujo resultado depende do túnel não pode também decidir se o túnel deve existir.
Decida o valor predefinido e aplique-o separadamente
O caso da rede desconhecida e o caso do cabo exigem respostas explícitas em vez de um valor herdado. Se o tráfego protegido tiver de permanecer bloqueado enquanto o sistema ainda classifica a rede ou levanta o túnel, isso requer o seu próprio controlo de aplicação suportado; um gatilho On Demand fornece comportamento de ligação, não uma garantia de bloqueio.
Bem escrita, a regra do administrador enuncia a exceção aprovada, as provas que a justificam e o recuo deliberado quando essas provas faltam. Reconhecer um nome de Wi-Fi é uma entrada legítima nessa decisão. Não é a justificação da decisão, e nunca deveria ser a única linha da regra.