Mac VPN On Demand: čo vlastne preukazuje zhoda SSID?
Zhoda SSID je podmienkou pravidla, nie dôkazom dôvery. Zostavte pravidlo On Demand, zvoľte predvolenú hodnotu pre neznáme siete a blokovanie držte oddelene.
Pripojiť VPN všade okrem kancelárskej Wi-Fi znie ako politika na dva riadky, a ťažká časť nikdy nebola rozpoznanie názvu siete. Ťažká časť je rozhodnúť, čo smie zhodný názov preukázať. Ktorýkoľvek prístupový bod môže vysielať známy SSID, a úspešný ping na jednu adresu preukazuje len to, že jedna sonda dostala odpoveď. Ani jedno z týchto pozorovaní neustanovuje, že Mac je v overenej internej sieti.
Názov nie je identita
SSID je označenie, ktoré vysiela rádio. Nie je kľúč, certifikát ani vyhlásenie o tom, komu patrí hardvér, a miesto podujatia alebo susedná kancelária môže vysielať ten istý reťazec bez akéhokoľvek koordinovania. Ak sa s označením zaobchádza ako s pokynom vypnúť ochranu, rozhodnutie prechádza na toho, kto nakonfiguroval najbližší prístupový bod.
Ping test zlyháva z jemnejšieho dôvodu: odpovedá na otázku o dosiahnuteľnosti, nie o členstve. Cieľ, ktorý odpovedá, môže byť dosiahnuteľný odovšadiaľ, môže byť dosiahnuteľný len cez tunel, o ktorom sa snažíte rozhodnúť, alebo to môže byť captive portál, ktorý vracia niečo, čo vyzerá ako odpoveď. Dosiahnuteľnosť je užitočný fakt a zlá hranica dôvery.
Ako On Demand vyhodnocuje súpravu pravidiel
Model On Demand od Apple spája akciu s voliteľnými sieťovými podmienkami, a pravidlá sa vyhodnocujú v poradí: prvé pravidlo, ktorého všetky podmienky sedia, dodá akciu, a ostatné sa neskúmajú. Toto poradie je politikou, preto pravidlo pridané «pre istotu» môže potichu prepísať správanie, ktoré fungovalo.
Podmienka SSID sa vzťahuje na aktuálnu primárnu pripojenú sieť, nie na každý názov viditeľný pri skenovaní. To dáva tri rôzne stavy, a ich zhrnutie na dva je bežná chyba konfigurácie:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Nakonfigurujte to tam, kde žije politika
Schválený VPN klient alebo riadiaci pracovný tok je miesto, kam toto pravidlo patrí, a rôzni poskytovatelia sprístupňujú rôzne podmnožiny dostupných ovládacích prvkov. Chýbajúca možnosť v tomto paneli preto znamená, že ju klient nesprístupnil, a nie že ju platforma nedokáže vyjadriť.
Automatická aktivácia tiež potrebuje overovacie usporiadanie, ktoré sa dokáže dokončiť bez človeka, napríklad certifikát alebo inú podporovanú metódu. Uložený jednorazový kód nie je také usporiadanie, a pravidlo, ktoré sa spustí, keď sa overenie nedá dokončiť, vytvára pokus o pripojenie, ktorý na pozadí potichu zlyhá.
Dva vzory, ktoré stoja za zápis do runbooku
Prvý je napodobňujúci názov. Miesto konferencie, hotel alebo nájomca v tej istej budove vysiela reťazec, ktorý vaše pravidlo považuje za «vnútri», a ochrana sa vypne presne tam, kde by ste to chceli najmenej. Názov neklamal; pravidlo mu položilo otázku, na ktorú nedokáže odpovedať.
Druhý je sonda, ktorá poráža sama seba. Skript pingne súkromnú adresu, vidí odpoveď cez tunel, usúdi, že už je v internej sieti, a odpojí sa. Potom sonda zlyhá, takže skript sa znovu pripojí a opakuje, a tunel osciluje, kým každý jednotlivý krok vyzerá správne. Test, ktorého výsledok závisí od tunela, nemôže zároveň rozhodovať, či tunel má existovať.
Rozhodnite predvolenú hodnotu a presadzujte ju oddelene
Prípad neznámej siete a prípad kábla vyžadujú výslovné odpovede namiesto zdedenej predvolenej hodnoty. Ak chránená prevádzka musí zostať zablokovaná, kým systém ešte klasifikuje sieť alebo dvíha tunel, vyžaduje to vlastnú podporovanú kontrolu presadzovania; spúšťač On Demand poskytuje správanie pripojenia, nie záruku blokovania.
Správne napísané pravidlo správcu uvádza schválenú výnimku, dôkazy, ktoré ju odôvodňujú, a zámerný ústup, keď tieto dôkazy chýbajú. Rozpoznanie názvu Wi-Fi je legitímny vstup do tohto rozhodnutia. Nie je to odôvodnenie rozhodnutia a nikdy by nemalo byť jediným riadkom pravidla.