Запрос администратора VPN на Mac: установка, расширение или политика?

Запросы пароля от VPN-клиента выглядят одинаково и таковыми не являются. За похожим диалогом скрываются четыре разных действия: запись файлов в защищённое место при установке, добавление или изменение сетевой конфигурации, активация системного расширения, переносящего трафик, и соблюдение политики, которую уже задал сервер управления. У каждого свой владелец, свой масштаб и свой способ проверить, что оно сработало. Сопоставить видимое сообщение с одним из этих четырёх и есть всё упражнение.

Три разных одобрения выглядят одинаково

Авторизация установщика — простейший случай: пакет пишет в каталоги, которые обычный пользователь изменить не может, и macOS запрашивает учётные данные администратора, чтобы это разрешить. Система не решает, безопасно ли ПО; она решает, можно ли вам туда писать. Поэтому пакет может установиться чисто и всё равно быть бесполезным: одобрение установки ничего не говорит о том, разрешат ли коду работать потом. После установки приложению может понадобиться второе одобрение, прежде чем оно сможет влиять на сеть.

Авторизация сетевой конфигурации охватывает изменения в списке подключений системы. Добавление VPN-службы или изменение параметров, настроенных сетевым администратором, требует повышения прав, потому что эти определения влияют на каждую учётную запись на машине. Это одобрение даёт полномочия на конфигурацию, а не на трафик.

Одобрение расширения — то, что важно для того, как ходят пакеты. Современный клиент устанавливает системное расширение, которое macOS загружает в систему, и macOS требует явного решения в разделе «Конфиденциальность и безопасность» или «Элементы входа и расширения», прежде чем его активировать. Четвёртый случай — управляемый Mac, где политика заранее одобряет расширение, и пользователь вообще не видит диалога.

Что на самом деле меняет каждое одобрение

Установщик меняет файлы на диске, и его последствия заканчиваются при удалении файлов, не считая остатков. Сетевая конфигурация добавляет определение службы, которое появляется в списке подключений и может быть повторно активировано правилами по требованию. Одобрение расширения меняет то, какой код система загрузит и будет поддерживать в работе, поэтому в некоторых рабочих процессах оно переживает удаление видимого приложения. Удаление пакета приложения не всегда удаляет его расширение, а оставленное расширение сохраняет свои сетевые привилегии.

Это различие предсказывает симптом. Установлено, но никогда не подключается — обычно значит, что расширение нигде не одобрено; подключается, но настройки откатываются при следующем изменении — обычно значит, что определением владеет политика управления.

Подпись и издатель решают ответ

Прежде чем одобрять, прочитайте, кто подписал вещь, а не то, на что намекает значок диалога. Двух локальных проверок достаточно, чтобы увидеть орган подписи и проходит ли оценка системы на этой машине.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Неподписанный или ненотаризованный пакет не обязательно вредоносен, но заслуживает иного решения, чем подписанный пакет от издателя, которого вы имели в виду. Пакет, пришедший сообщением, а не с собственного сайта издателя, — это случай, когда ответ просто нет.

Сравнивайте идентификатор команды с опубликованной идентичностью издателя, а не доверяйте отображаемому имени приложения, потому что имена легко переиспользовать, а идентификаторы нет. Если издатель публикует идентификатор в своём руководстве по установке, эта страница служит ориентиром для сравнения и местом, где следует сообщить о несовпадении. Клиент от перепродавца, перепакованная сборка или переносимая копия с форума заслуживает большего подозрения, чем подписанная загрузка того же издателя.

Когда решением владеет политика

На корпоративном Mac администратор, возможно, уже всё решил. Профиль управления может доставить определение VPN, заранее одобрить расширение и заблокировать подключение так, чтобы его нельзя было удалить. В такой схеме запрос пароля часто является запросом отменить решение, которое никогда не было вашим.

Снижение безопасности загрузки или отключение управления, чтобы навязать установку, навсегда меняет модель угроз машины ради решения временной проблемы. Такой обмен редко совершается осознанно; обычно это происходит при следовании инструкции с форума. Вместо этого попросите у администратора поддерживаемый путь, который может быть таким же простым, как повторная отправка профиля или одобрение расширения на стороне сервера. Если администратор не может его одобрить, этот ответ и есть находка, а не препятствие, которое нужно обходить.

Подтвердите состояние после одобрения

После того как дано санкционированное одобрение, проверьте, что думает система, а не что утверждает клиент. Список расширений сообщает состояние активации без какого-либо стороннего инструмента.

systemextensionsctl list

Запись, показанная как активированная, относится к идентификатору команды, который вы проверили ранее; запись, показанная как остановленная и ожидающая одобрения пользователя, объясняет клиент, который запускается и никогда не несёт трафик. Если запрос возвращается после каждой попытки, зафиксируйте точное сообщение и версию клиента, потому что повторяющееся одобрение обычно означает, что расширение заменяется без деактивации предыдущего, и это случай для поддержки, а не проблема с паролем. Запишите версию перед обращением в поддержку, так как исправление может уже быть в более новой сборке, и разговор начнётся оттуда.