Skrbniško opozorilo VPN na Macu: namestitev, razširitev ali pravilo?

Pozivi k geslu iz odjemalca VPN so si videti podobni in niso. Za podobnim pogovornim oknom se skrivajo štiri različna dejanja: pisanje datotek na zaščiteno mesto med namestitvijo, dodajanje ali spreminjanje omrežne konfiguracije, aktiviranje sistemske razširitve, ki prenaša promet, in upoštevanje pravila, ki ga je upravljalni strežnik že določil. Vsako ima drugega lastnika, drugačen obseg vpliva in drugačen način preverjanja, ali je delovalo. Ujemanje sporočila, ki ga vidite, z enim od teh štirih je cela vaja.

Tri različne odobritve so videti enako

Pooblastitev namestitvenega programa je najpreprostejši primer: paket piše v mape, ki jih običajni uporabnik ne more spreminjati, macOS pa za to zahteva skrbniške poverilnice. Sistem se ne odloča, ali je programska oprema varna; odloča se, ali smete tja pisati. Zato se lahko paket čisto namesti in je še vedno neuporaben: odobritev namestitve ne pove nič o tem, ali bo koda pozneje smela delovati. Po namestitvi lahko aplikacija potrebuje še drugo odobritev, preden lahko vpliva na omrežje.

Pooblastitev omrežne konfiguracije zajema spremembe na seznamu povezav sistema. Dodajanje storitve VPN ali spreminjanje nastavitev, ki jih je nastavil omrežni skrbnik, zahteva povišanje, ker te opredelitve vplivajo na vsak račun na stroju. Ta odobritev daje oblast nad konfiguracijo, ne nad prometom.

Odobritev razširitve je tista, ki je pomembna za to, kako potujejo paketi. Sodobni odjemalec namesti sistemsko razširitev, ki jo macOS naloži v sistem, in macOS pred aktiviranjem zahteva izrecno odločitev v Zasebnost in varnost ali v Prijavne postavke in razširitve. Četrti primer je upravljani Mac, kjer pravilo razširitev vnaprej odobri in uporabnik ne vidi nobenega pogovornega okna.

Kaj vsaka odobritev v resnici spremeni

Namestitveni program spremeni datoteke na disku in njegove posledice se končajo ob odstranitvi datotek, razen ostankov. Omrežna konfiguracija doda opredelitev storitve, ki se pojavi na seznamu povezav in jo je mogoče znova aktivirati s pravili na zahtevo. Odobritev razširitve spremeni, katero kodo bo sistem naložil in ohranil v teku, zato v nekaterih delovnih tokih preživi odstranitev vidne aplikacije. Odstranitev paketa aplikacije ne odstrani vedno njene razširitve, preostala razširitev pa obdrži svoje omrežne pravice.

Ta razlika napove simptom. Nameščeno, a nikoli povezano običajno pomeni, da razširitev ni nikjer odobrena; povezuje se, a nastavitve se ob naslednji spremembi vrnejo, običajno pomeni, da je upravljavsko pravilo lastnik opredelitve.

Podpis in založnik odločita o odgovoru

Preden odobrite, preberite, kdo je stvar podpisal, in ne, kaj namiguje ikona pogovornega okna. Dve lokalni preveritvi zadoščata, da vidite podpisno oblast in ali ocena sistema na tem stroju uspe.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Nepodpisani ali nenotarizirani paket ni samodejno zlonameren, a si zasluži drugačno odločitev kot podpisani paket založnika, ki ste ga imeli v mislih. Paket, ki je prispel s sporočilom in ne z založnikove lastne strani, je primer, ko je odgovor preprosto ne.

Primerjajte identifikator ekipe z objavljeno identiteto založnika, namesto da zaupate prikazanemu imenu aplikacije, ker je imena lahko znova uporabiti, identifikatorje pa ne. Če založnik objavi identifikator v svojem namestitvenem vodniku, je ta stran referenca za primerjavo in tudi mesto, kjer je treba poročati o neskladju. Odjemalec od preprodajalca, ponovno zapakiran gradnik ali prenosna kopija s foruma si zasluži več suma kot podpisana prenesena datoteka istega založnika.

Ko je odločitev v rokah pravila

Na poslovnem Macu je skrbnik morda že odločil. Upravljavski profil lahko dostavi opredelitev VPN, vnaprej odobri razširitev in zaklene povezavo, da je ni mogoče odstraniti. V takšni ureditvi je zahteva za vnos gesla pogosto zahteva za razveljavitev odločitve, ki ni bila nikoli vaša.

Znižanje zagonske varnosti ali odklop upravljanja, da bi vsilili namestitev, trajno spremeni model groženj stroja, da bi rešili začasen problem. Ta menjava se redko naredi zavestno; običajno se zgodi ob sledenju objavi na forumu. Namesto tega prosite skrbnika za podprto pot, ki je lahko tako preprosta kot ponovno pošiljanje profila ali odobritev razširitve na strežniku. Če je skrbnik ne more odobriti, je ta odgovor ugotovitev, ne ovira, ki bi se ji bilo treba izogniti.

Po odobritvi potrdite stanje

Ko je dano pooblaščeno odobritev, preverite, kaj meni sistem, in ne, kaj trdi odjemalec. Seznam razširitev poroča stanje aktivacije brez potrebe po orodju tretje strani.

systemextensionsctl list

Vnos, prikazan kot aktiviran, pripada identifikatorju ekipe, ki ste ga prej preverili; vnos, prikazan kot ustavljen in čaka na uporabnikovo odobritev, pojasnjuje odjemalca, ki se zažene in nikoli ne prenaša prometa. Če se poziv vrne po vsakem poskusu, zabeležite točno sporočilo in različico odjemalca, ker ponavljajoča se odobritev običajno pomeni, da se razširitev zamenjuje brez deaktivacije prejšnje, in to je primer za podporo, ne težava z geslom. Zapišite različico pred klicem podpore, ker popravek morda že obstaja v novejšem gradniku in pogovor se bo začel tam.