Mac VPN On Demand: što SSID podudaranje zapravo dokazuje?
SSID podudaranje je uvjet pravila, a ne dokaz povjerenja. Izgradite On Demand pravilo, odaberite zadanu vrijednost za nepoznate mreže i držite blokiranje odvojeno.
Povezivanje VPN-a svugdje osim na uredskom Wi-Fi-ju zvuči kao pravilo od dva retka, a teški dio nikada nije bio prepoznavanje naziva mreže. Teški dio je odlučiti što podudarni naziv smije dokazati. Bilo koja pristupna točka može emitirati poznati SSID, a uspješan ping na jednu adresu dokazuje samo da je jedan upit dobio odgovor. Nijedno od tih opažanja ne dokazuje da je Mac na autentificiranoj internoj mreži.
Naziv nije identitet
SSID je oznaka koju radio emitira. Nije ključ, certifikat ni izjava o tome kome pripada hardver, a mjesto događaja ili susjedni ured može emitirati isti niz bez ikakve koordinacije. Ako se oznaka shvati kao uputa da se zaštita isključi, odluka prelazi na onoga tko je konfigurirao najbližu pristupnu točku.
Ping test pada zbog suptilnijeg razloga: odgovara na pitanje o dostupnosti, a ne o članstvu. Meta koja odgovara može biti dostupna odasvud, može biti dostupna samo kroz tunel o kojem upravo odlučujete, ili može biti captive portal koji vraća nešto što izgleda kao odgovor. Dostupnost je korisna činjenica i loša granica povjerenja.
Kako On Demand procjenjuje skup pravila
Appleov On Demand model spaja radnju s neobveznim mrežnim uvjetima, a pravila se procjenjuju redom: prvo pravilo čiji svi uvjeti odgovaraju daje radnju, a ostala se ne razmatraju. Taj je redoslijed politika, zato pravilo dodano «za svaki slučaj» može tiho prepisati ponašanje koje je radilo.
Uvjet SSID odnosi se na trenutačnu primarnu povezanu mrežu, a ne na svaki naziv vidljiv u skeniranju. To daje tri različita stanja, a njihovo svodjenje na dva uobičajena je pogreška u konfiguraciji:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Konfigurirajte to ondje gdje politika živi
Odobreni VPN klijent ili upravljački tijek rada mjesto je kojemu ovo pravilo pripada, a različiti pružatelji izlažu različite podskupove dostupnih kontrola. Nedostajuća opcija na tom panelu stoga znači da je klijent nije izložio, a ne da je platforma ne može izraziti.
Automatsko aktiviranje također traži autentifikacijski postupak koji može završiti bez čovjeka, poput certifikata ili druge podržane metode. Pohranjeni jednokratni kod nije taj postupak, a pravilo koje se aktivira dok se autentifikacija ne može dovršiti stvara pokušaj povezivanja koji tiho ne uspijeva u pozadini.
Dva uzorka koja vrijedi zapisati u runbook
Prvi je oponašani naziv. Konferencijsko mjesto, hotel ili stanar u istoj zgradi emitira niz koji vaše pravilo tretira kao «unutra», i zaštita se isključuje točno ondje gdje biste to najmanje htjeli. Naziv nije lagao; pravilo mu je postavilo pitanje na koje on ne može odgovoriti.
Drugi je test koji sam sebe pobjeđuje. Skripta pinga privatnu adresu, vidi odgovor kroz tunel, zaključi da je već na internoj mreži i prekine vezu. Zatim test padne, pa se skripta ponovno poveže i ponavlja, a tunel oscilira dok svaki pojedini korak izgleda ispravno. Test čiji rezultat ovisi o tunelu ne može ujedno odlučiti treba li tunel postojati.
Odlučite zadano i provedite to odvojeno
Slučaj nepoznate mreže i slučaj kabela traže izričite odgovore umjesto naslijeđene zadane vrijednosti. Ako zaštićeni promet mora ostati blokiran dok sustav još razvrstava mrežu ili podiže tunel, to zahtijeva vlastitu podržanu kontrolu provedbe; On Demand okidač daje ponašanje povezivanja, a ne jamstvo blokiranja.
Ispravno napisano, administratorsko pravilo navodi odobrenu iznimku, dokaze koji je opravdavaju i namjerno povlačenje kada ti dokazi nedostaju. Prepoznavanje Wi-Fi naziva legitiman je ulaz u tu odluku. To nije opravdanje odluke i nikada ne bi smjelo biti jedini redak u pravilu.