VPN ruta ne daje daljinsku prijavu na tvoj Mac

Pridruživanje poslovnoj VPN mreži samo po sebi ne govori ništa o tome može li se neko prijaviti na tvoj Mac s drugog mjesta. Moraju se poklopiti tri odvojene stvari: mrežni put koji stiže do računala, servis pristupa koji radi i dozvola da određeni račun koristi taj servis. Tunel obezbjeđuje samo prvo. Sve ostalo na ovoj stranici odnosi se na provjeru druge dvije bez pretpostavljanja odgovora.

Pođi od servisa ili instalirane komponente koja bi omogućila daljinski pristup i prestani to zaključivati iz pokazatelja povezanog stanja u traci menija.

Tri kontrole koje ljudi spajaju u jednu

Dostupnost odgovara na pitanje mogu li paketi stići. Servis dijeljenja odgovara na pitanje sluša li nešto na računalu. Autorizacija odgovara na pitanje koje identitete servis prihvata i što smiju dotaknuti kad uđu. VPN može promijeniti prvi odgovor ne dirajući druga dva, i upravo zato ovo pitanje stalno daje loše zaključke u oba smjera.

Appleove upute za Remote Login dobar su konkretan primjer te podjele jer se nalaze na određenom mjestu i nose vlastite odabire računa. Smještene su pod System Settings, General, Sharing i opisuju SSH i SFTP pristup uz odabir dozvoljenih korisnika. Potpuni pristup disku za daljinske korisnike opet je zasebna opcija, što pojačava poantu: uključiti servis nije isto što i dati svaku mogućnost koju servis može ponuditi.

Provjeri šta je zaista uključeno

Prođi kroz ploču Sharing i zabilježi svaki uključeni servis, ne samo onaj koji si očekivao. Remote Login, Screen Sharing i File Sharing otvaraju svaki drugu površinu i svaki ima svoj spisak korisnika. Postavka za SSH ne govori ništa o dijeljenju ekrana, a prisustvo funkcije dijeljenja u operativnom sistemu ne govori ništa o tome je li je iko koristio.

Zatim popiši šta bi još moglo pružiti pristup: agent za daljinsku podršku treće strane, alat za upravljanje instaliran tokom upisa ili server za dijeljenje ekrana ugrađen u nešto drugo. Oni se ne pojavljuju na ploči Sharing i upravo njih ljudi zaborave kad revidiraju laptop. Zapiši svakog agenta kojeg ne možeš identificirati, jer nepoznat proces s portom za slušanje zanimljiviji je od poznatog bez njega. Kratak spisak nepoznatih bolji je od samouvjerenog zaključka izgrađenog na jedinoj ploči koju si slučajno otvorio.

Pitaj administratora šta je upis instalirao

Ako je poslovni upis uključivao profil konfiguracije, odobrenje administratora ili dodatni softver, zamoli osobu koja to vodi da odgovori na tri stvari: koje su komponente instalirane, koja ovlaštenja imaju i šta ostaje aktivno nakon što se odspojiš. VPN ruta i privilegovani agent krajnje tačke imaju vrlo različite mogućnosti, a obično je samo jedan od njih vidljiv korisniku.

Za dozvoljeni aranžman daljinske podrške pribavi pojedinosti u pisanom obliku: koji su korisnici ovlašteni, koje su operacije predviđene, pojavljuje li se zahtjev za potvrdu i kako se aranžman uklanja kad angažman završi. Ne dodjeljuj pristup svim korisnicima ni široka ovlaštenja za disk samo da bi provjerio može li se podrška povezati, jer taj test trajno proširuje granicu.

Ako nađeš dokaz koji nisi očekivao

Nepoznat dnevnik veza ili uključen prekidač je trag, a ne dokaz aktivnosti određene osobe. Sačuvaj relevantne ne-tajne događaje, zabilježi vremena i koristi proces za incidente organizacije ili platforme umjesto da se suočavaš s nekim ili brišeš dokaze u nadi da će se samo riješiti.

Na upravljanom uređaju zamoli njegovog vlasnika da pregleda predložene promjene prije nego deaktiviraš kontrolu koju politika zahtijeva. Na ličnom uređaju povezanom s poslovnom mrežom zatraži jasnu granicu upisa i podržanu proceduru odlaska, uključujući šta se uklanja, a šta ostaje.

Koristan odgovor imenuje mehanizam i vlast iza njega. Nikada ne obećava ni neograničen pristup poslodavca ni potpunu sigurnost zbog oznake tunela, i ne miješa rutu s prijavom.