Mac VPN On Demand: ce dovedește de fapt o potrivire SSID?
O potrivire SSID este o condiție de regulă, nu o dovadă de încredere. Construiți regula On Demand, alegeți valoarea implicită pentru rețelele necunoscute și țineți blocarea separat.
Conectarea VPN-ului peste tot, în afară de Wi-Fi-ul biroului, sună ca o politică de două rânduri, iar partea grea nu a fost niciodată recunoașterea numelui unei rețele. Partea grea este să decizi ce are voie să dovedească un nume potrivit. Orice punct de acces poate anunța un SSID cunoscut, iar un ping reușit către o adresă dovedește doar că o singură sondă a primit răspuns. Niciuna dintre cele două observații nu stabilește că Mac-ul se află într-o rețea internă autentificată.
Un nume nu este o identitate
Un SSID este o etichetă pe care o emite un radio. Nu este o cheie, un certificat sau o declarație despre cine deține hardware-ul, iar o locație de evenimente sau un birou vecin poate difuza același șir fără nicio coordonare. Tratarea etichetei ca instrucțiune de a opri protecția predă decizia celui care a configurat cel mai apropiat punct de acces.
Testul ping eșuează dintr-un motiv mai subtil: răspunde la o întrebare despre accesibilitate, nu despre apartenență. O țintă care răspunde poate fi accesibilă de oriunde, poate fi accesibilă doar prin tunelul despre care încercați să decideți, sau poate fi un portal captiv care returnează ceva ce seamănă cu un răspuns. Accesibilitatea este un fapt util și o limită de încredere slabă.
Cum evaluează On Demand un set de reguli
Modelul On Demand de la Apple asociază o acțiune cu condiții de rețea opționale, iar regulile sunt evaluate în ordine: prima regulă ale cărei condiții se potrivesc toate furnizează acțiunea, iar restul nu sunt consultate. Acea ordine este politica, de aceea o regulă adăugată «pentru orice eventualitate» poate rescrie în tăcere un comportament care funcționa.
Condiția SSID se referă la rețeaua principală conectată curentă, nu la fiecare nume vizibil într-o scanare. Asta produce trei stări distincte, iar reducerea lor la două este greșeala obișnuită de configurare:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Configurați-o acolo unde trăiește politica
Un client VPN aprobat sau un flux de lucru de administrare este locul căruia îi aparține această regulă, iar furnizorii diferiți expun submulțimi diferite ale controalelor disponibile. O opțiune lipsă în acel panou înseamnă, așadar, că clientul nu a expus-o, nu că platforma nu o poate exprima.
Activarea automată are nevoie și de o soluție de autentificare care se poate încheia fără un om, cum ar fi un certificat sau o altă metodă acceptată. Un cod de unică folosință stocat nu este acea soluție, iar o regulă care se declanșează în timp ce autentificarea nu se poate încheia produce o încercare de conectare care eșuează în tăcere în fundal.
Două tipare care merită scrise în runbook
Primul este numele imitator. O locație de conferințe, un hotel sau un chiriaș din aceeași clădire anunță șirul pe care regula dumneavoastră îl tratează drept «înăuntru», iar protecția se oprește exact acolo unde ați dori cel mai puțin. Numele nu a mințit; regula i-a pus o întrebare la care nu poate răspunde.
Al doilea este sonda care se înfrânge singură. Un script face ping către o adresă privată, vede un răspuns prin tunel, concluzionează că este deja în rețeaua internă și se deconectează. Apoi sonda eșuează, așa că scriptul se reconectează și repetă, iar tunelul oscilează în timp ce fiecare pas individual pare corect. Un test al cărui rezultat depinde de tunel nu poate decide în același timp dacă tunelul ar trebui să existe.
Decideți valoarea implicită și aplicați-o separat
Cazul rețelei necunoscute și cazul cablului necesită răspunsuri explicite în locul unei valori moștenite. Dacă traficul protejat trebuie să rămână blocat în timp ce sistemul încă clasifică rețeaua sau ridică tunelul, asta necesită propriul control de aplicare acceptat; un declanșator On Demand oferă comportament de conectare, nu o garanție de blocare.
Scrisă corect, regula administratorului enunță excepția aprobată, dovezile care o justifică și retragerea deliberată atunci când acele dovezi lipsesc. Recunoașterea unui nume Wi-Fi este o intrare legitimă în acea decizie. Nu este justificarea deciziei și nu ar trebui să fie niciodată singura linie a regulii.