Mac VPN On Demand: kaj ujemanje SSID dejansko dokazuje?
Ujemanje SSID je pogoj pravila, ne dokaz zaupanja. Zgradite pravilo On Demand, izberite privzeto vrednost za neznana omrežja in blokiranje držite ločeno.
Povezovanje VPN povsod razen na pisarniškem Wi-Fi se sliši kot politika v dveh vrsticah, in težji del nikoli ni bil prepoznavanje imena omrežja. Težji del je odločiti, kaj sme ujemajoče se ime dokazati. Vsaka dostopna točka lahko oddaja znan SSID, in uspešen ping na en naslov dokaže le, da je ena poizvedba dobila odgovor. Nobeno od obeh opažanj ne ugotavlja, da je Mac v overjenem notranjem omrežju.
Ime ni identiteta
SSID je oznaka, ki jo oddaja radio. Ni ključ, potrdilo ali izjava o tem, kdo ima strojno opremo, in prizorišče dogodka ali sosednja pisarna lahko oddaja isti niz brez vsakršnega usklajevanja. Če oznako obravnavamo kot navodilo za izklop zaščite, odločitev predamo tistemu, ki je nastavil najbližjo dostopno točko.
Ping test spodleti iz bolj subtilnega razloga: odgovarja na vprašanje o dosegljivosti, ne o članstvu. Cilj, ki se odziva, je lahko dosegljiv od koder koli, lahko je dosegljiv samo skozi tunel, o katerem poskušate odločiti, ali pa je captive portal, ki vrača nekaj, kar je videti kot odgovor. Dosegljivost je koristno dejstvo in slaba meja zaupanja.
Kako On Demand ocenjuje nabor pravil
Model On Demand podjetja Apple poveže dejanje z neobveznimi omrežnimi pogoji, in pravila se ocenjujejo po vrsti: prvo pravilo, katerega vsi pogoji se ujemajo, zagotovi dejanje, ostala pa se ne obravnavajo. Ta vrstni red je politika, zato lahko pravilo, dodano «za vsak primer», tiho prepiše vedenje, ki je delovalo.
Pogoj SSID se nanaša na trenutno primarno povezano omrežje, ne na vsako ime, vidno pri skeniranju. To daje tri različna stanja, in njihovo stiskanje v dva je običajna napaka pri konfiguraciji:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Nastavite ga tam, kjer živi politika
Odobren odjemalec VPN ali upravni delovni tok je mesto, kamor sodi to pravilo, in različni ponudniki razkrijejo različne podmnožice razpoložljivih kontrolnikov. Zato manjkajoča možnost na tem panelu pomeni, da je odjemalec ni razkril, ne da je platforma ne more izraziti.
Samodejna aktivacija potrebuje tudi overitveno ureditev, ki se lahko zaključi brez človeka, na primer potrdilo ali drugo podprto metodo. Shranjena enkratna koda ni ta ureditev, in pravilo, ki se sproži, ko overitve ni mogoče dokončati, ustvari poskus povezave, ki v ozadju tiho spodleti.
Dva vzorca, ki ju je vredno zapisati v runbook
Prvi je posnemajoče ime. Prizorišče konference, hotel ali najemnik v isti stavbi oddaja niz, ki ga vaše pravilo obravnava kot «znotraj», in zaščita se izklopi točno tam, kjer bi si to najmanj želeli. Ime ni lagalo; pravilo mu je postavilo vprašanje, na katero ne more odgovoriti.
Drugi je preizkus, ki premaga sam sebe. Skript pinga zasebni naslov, vidi odgovor skozi tunel, sklepa, da je že v notranjem omrežju, in prekine povezavo. Nato preizkus spodleti, zato se skript znova poveže in ponavlja, tunel pa niha, medtem ko je vsak posamezen korak videti pravilen. Preizkus, katerega rezultat je odvisen od tunela, ne more hkrati odločiti, ali naj tunel sploh obstaja.
Odločite se o privzeti vrednosti in jo uveljavljajte ločeno
Primer neznanega omrežja in primer kabla zahtevata izrecne odgovore namesto podedovane privzete vrednosti. Če mora zaščiten promet ostati blokiran, medtem ko sistem še razvršča omrežje ali dviga tunel, to zahteva lastno podprto kontrolo izvajanja; sprožilec On Demand zagotavlja vedenje povezave, ne jamstva za blokado.
Pravilno napisano administratorsko pravilo navaja odobreno izjemo, dokaze, ki jo upravičujejo, in namerni umik, ko teh dokazov ni. Prepoznavanje imena Wi-Fi je zakonit vhod v to odločitev. To ni utemeljitev odločitve in nikoli ne bi smelo biti edina vrstica v pravilu.