Маршрут VPN не даёт удалённого входа на ваш Mac

Подключение к рабочей VPN само по себе ничего не говорит о том, может ли кто-то войти на ваш Mac из другого места. Должны совпасть три отдельные вещи: сетевой путь, достигающий машины, работающая служба доступа и разрешение для конкретной учётной записи пользоваться этой службой. Туннель обеспечивает только первое. Всё остальное на этой странице посвящено проверке двух других без предположения об ответе.

Начните со службы или установленного компонента, который мог бы обеспечить удалённый доступ, и перестаньте делать вывод о нём по индикатору подключённого состояния в строке меню.

Три средства контроля, которые люди сливают в одно

Достижимость отвечает на вопрос, могут ли пакеты прибыть. Служба совместного доступа отвечает на вопрос, слушает ли что-то на машине. Авторизация отвечает на вопрос, какие личности принимает служба и к чему они могут прикоснуться, оказавшись внутри. VPN может изменить первый ответ, не затрагивая два других, и именно поэтому этот вопрос продолжает давать неверные выводы в обе стороны.

Руководство Apple по Remote Login — хороший конкретный пример такого разделения, потому что оно находится в определённом месте и несёт собственный выбор учётных записей. Оно находится в разделе System Settings, General, Sharing и описывает доступ по SSH и SFTP с выбором разрешённых пользователей. Полный доступ к диску для удалённых пользователей — снова отдельная опция, что подкрепляет мысль: включить службу не то же самое, что предоставить все возможности, которые служба могла бы предложить.

Проверьте, что на самом деле включено

Пройдите по панели Sharing и отметьте каждую включённую службу, а не только ту, которую ожидали. Remote Login, Screen Sharing и File Sharing открывают каждая другую поверхность, и у каждой свой список пользователей. Настройка для SSH ничего не говорит об общем доступе к экрану, а наличие функции общего доступа в операционной системе ничего не говорит о том, пользовался ли ею кто-нибудь.

Затем составьте перечень того, что ещё может давать доступ: агент удалённой поддержки от третьей стороны, инструмент управления, установленный при регистрации, или сервер общего доступа к экрану, входящий в комплект с чем-то ещё. Они не отображаются на панели Sharing, и именно эти компоненты люди забывают при аудите ноутбука. Запишите каждого агента, которого вы не можете опознать, потому что неизвестный процесс со слушающим портом интереснее известного без него. Короткий список неизвестных лучше уверенного вывода, построенного на единственной панели, которую вы случайно открыли.

Спросите администратора, что установила регистрация

Если рабочая регистрация включала профиль конфигурации, одобрение администратора или дополнительное программное обеспечение, попросите человека, который этим управляет, ответить на три вещи: какие компоненты установлены, какие разрешения они имеют и что остаётся активным после того, как вы отключитесь. Маршрут VPN и привилегированный агент конечной точки обладают очень разными возможностями, и обычно только один из них виден пользователю.

Для разрешённой схемы удалённой поддержки получите подробности в письменном виде: какие пользователи уполномочены, какие операции предполагаются, появляется ли запрос подтверждения и как схема удаляется по завершении работы. Не предоставляйте доступ всем пользователям или широкие разрешения на диск только для того, чтобы проверить, может ли поддержка подключиться, потому что такая проверка навсегда расширяет границу.

Если вы нашли доказательства, которых не ждали

Незнакомый журнал подключений или включённый переключатель — это зацепка, а не доказательство деятельности конкретного человека. Сохраните относящиеся к делу несекретные события, запишите время и используйте процедуру инцидентов организации или платформы вместо того, чтобы идти на конфронтацию или удалять доказательства в надежде, что всё решится само.

На управляемом устройстве попросите его владельца просмотреть предложенные изменения, прежде чем отключать средство контроля, которого требует политика. На личном устройстве, подключённом к рабочей сети, попросите чёткую границу регистрации и поддерживаемую процедуру выхода, включая то, что удаляется и что остаётся.

Полезный ответ называет механизм и стоящую за ним инстанцию. Он никогда не обещает ни неограниченного доступа работодателя, ни полной безопасности из-за ярлыка туннеля, и не путает маршрут со входом.