Avertisment de administrator VPN pe Mac: instalare, extensie sau politică?

Avertismentele de parolă de la un client VPN par interschimbabile și nu sunt. Patru acțiuni diferite se ascund în spatele unei ferestre similare: scrierea fișierelor într-o locație protejată în timpul instalării, adăugarea sau modificarea unei configurații de rețea, activarea unei extensii de sistem care transportă trafic, și respectarea unei politici pe care un server de administrare a stabilit-o deja. Fiecare are alt proprietar, altă rază de impact și alt mod de a verifica dacă a funcționat. Potrivirea mesajului pe care îl vezi cu una dintre aceste patru este întregul exercițiu.

Trei aprobări diferite arată la fel

Autorizarea instalatorului este cazul cel mai simplu: un pachet scrie în directoare pe care un utilizator standard nu le poate modifica, iar macOS cere acreditări de administrator pentru a permite asta. Sistemul nu decide dacă software-ul este sigur; decide dacă ai voie să scrii acolo. De aceea un pachet se poate instala curat și totuși poate fi inutil: aprobarea instalării nu spune nimic despre dacă codului i se va permite să ruleze ulterior. După instalare, aplicația poate avea nevoie de o a doua aprobare înainte de a influența rețeaua.

Autorizarea configurației de rețea acoperă modificările din lista de conexiuni a sistemului. Adăugarea unui serviciu VPN sau modificarea setărilor configurate de un administrator de rețea necesită elevare, deoarece acele definiții afectează fiecare cont de pe mașină. Această aprobare acordă autoritate de configurare, nu autoritate asupra traficului.

Aprobarea extensiei este cea care contează pentru modul în care călătoresc pachetele. Un client modern instalează o extensie de sistem pe care macOS o încarcă în sistem, iar macOS cere o decizie explicită în Confidențialitate și securitate sau în Elemente de autentificare și extensii înainte de a o activa. Un al patrulea caz este un Mac administrat, unde o politică aprobă deja anticipat extensia, iar utilizatorul nu vede niciun dialog.

Ce schimbă de fapt fiecare aprobare

Un instalator schimbă fișiere pe disc, iar consecințele sale se termină când fișierele sunt eliminate, în afară de resturi. O configurație de rețea adaugă o definiție de serviciu care apare în lista de conexiuni și poate fi reactivată de reguli la cerere. Aprobarea unei extensii schimbă ce cod va încărca și va menține sistemul în execuție, motiv pentru care supraviețuiește dezinstalării aplicației vizuale în unele fluxuri de lucru. Eliminarea unui pachet de aplicație nu elimină întotdeauna extensia acestuia, iar o extensie lăsată în urmă își păstrează privilegiile de rețea.

Distincția prezice simptomul. Instalat dar niciodată conectat înseamnă de obicei că extensia nu este aprobată nicăieri; se conectează dar setările revin la următoarea modificare înseamnă de obicei că o politică de administrare deține definiția.

Semnătura și editorul decid răspunsul

Înainte de a aproba, citește cine a semnat lucrul respectiv, nu ce sugerează pictograma dialogului. Două verificări locale sunt suficiente pentru a vedea autoritatea de semnare și dacă evaluarea sistemului trece pe această mașină.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Un pachet nesemnat sau nenotarizat nu este automat rău intenționat, dar merită o decizie diferită față de unul semnat de editorul pe care îl aveai în vedere. Un pachet care a ajuns printr-un mesaj în loc de site-ul editorului este cazul în care răspunsul este pur și simplu nu.

Compară identificatorul echipei cu identitatea publicată a editorului în loc să te bazezi pe numele afișat al aplicației, pentru că numele sunt ușor de reutilizat, iar identificatorii nu. Dacă editorul publică identificatorul în ghidul său de instalare, acea pagină este referința pentru comparație și totodată locul unde o nepotrivire ar trebui raportată. Un client de la un revânzător, o compilare reambalată sau o copie portabilă de pe un forum merită mai multă suspiciune decât descărcarea semnată a aceluiași editor.

Când o politică deține decizia

Pe un Mac corporativ administratorul poate să fi decis deja. Un profil de administrare poate livra definiția VPN, poate aproba anticipat extensia și poate bloca conexiunea astfel încât să nu poată fi eliminată. Într-o asemenea configurare, cererea de a introduce o parolă este adesea o cerere de a anula o decizie care nu a fost niciodată a ta.

Scăderea securității de pornire sau deconectarea administrării pentru a forța o instalare schimbă permanent modelul de amenințare al mașinii pentru a rezolva o problemă temporară. Acest schimb se face rareori conștient; de obicei se întâmplă urmărind o postare pe forum. Cere administratorului calea suportată, care poate fi la fel de simplă ca retrimiterea profilului sau aprobarea extensiei pe server. Dacă administratorul nu o poate aproba, acel răspuns este constatarea, nu un obstacol de ocolit.

Confirmă starea după aprobare

Odată acordată o aprobare autorizată, verifică ce crede sistemul, nu ce susține clientul. Lista extensiilor raportează starea de activare fără a fi nevoie de vreun instrument terț.

systemextensionsctl list

O intrare afișată ca activată aparține identificatorului echipei pe care l-ai verificat mai devreme; o intrare afișată ca terminată și în așteptarea aprobării utilizatorului explică un client care pornește și nu transportă niciodată trafic. Dacă avertismentul revine după fiecare încercare, capturează mesajul exact și versiunea clientului, pentru că o aprobare repetată înseamnă de obicei că extensia este înlocuită fără ca precedenta să fie dezactivată, iar acesta este un caz de asistență, nu o problemă de parolă. Notează versiunea înainte de a suna la asistență, pentru că remedierea poate exista deja într-o compilare mai nouă și conversația va începe de acolo.