Skripti juaj e nis VPN-në; nuk e përgatit atë

Ju shkruani një skript që ekzekuton scutil --nc start me emrin e lidhjes, funksionon në Mac-in tuaj dhe dështon në çdo makinë të sapoinstaluar në zyrë. Skripti nuk është i prishur. Prej tij kërkohet diçka që nuk e ka mundur kurrë: nisja e një lidhjeje ekzistuese nuk është i njëjti veprim si krijimi i një lidhjeje të re.

Përgatitja dhe kontrolli i sesionit janë dy punë me dy pronarë, dhe një rrjedhë pune që supozon të kundërtën do të kalojë çdo test në makinën ku u shkrua.

Me çfarë flet në të vërtetë komanda e nisjes

Një komandë e kontrollit të sesionit i drejtohet një konfigurimi që ekziston tashmë dhe tashmë është i miratuar. I kërkon sistemit të ngrejë atë lidhje të emërtuar, duke përdorur cilësimet e serverit, referencat e identitetit dhe politikën e ruajtur më parë. Nëse ato nuk janë instaluar kurrë, nuk ka asgjë për të nisur.

Prandaj dështimi shfaqet në harduer të ri dhe jo në laptopin e administratorit. Laptopi u përgatit muaj më parë nga një person që që atëherë e ka harruar. Mendoni komandën e nisjes si një zile dere që dikush solli tela tek ajo tremujorin e kaluar. Ta shtypësh nuk është e njëjta gjë me shtrimin e instalimeve.

Tre pronarë të një konfigurimi VPN

Një profil i menaxhuar nga organizata vjen nga menaxhimi i pajisjeve. Profili mban adresat e serverit, rregullimin e vërtetimit dhe politikën që kërkon organizata, dhe administratori i VPN-së është personi që i siguron ato. Një skript nuk duhet t'i rindërtojë ato cilësime nga një emër i shfaqur që gjeti në një listë.

Një konfigurim VPN personal vendas krijohet përmes Network Extension API të Apple, i cili mbulon protokollet e integruara IPsec dhe IKEv2. Është një ndërfaqe aplikacioni me një hap ruajtjeje dhe një miratim përdoruesi, jo një komandë shell që krijon në heshtje çdo lloj tuneli që ofron një furnizues.

Një klient i palës së tretë është rasti i tretë, me formatin e vet të importimit, mjetin e vet të menaxhimit dhe shpesh ndihmësin e vet të privilegjuar. Sesioni i tij zotërohet nga procesi i atij furnizuesi. Gjetja e një shërbimi sistemi me emër të ngjashëm nuk është provë që një komandë sistemi kontrollon tunelin, dhe supozimi i tillë prodhon skripte që duken se funksionojnë derisa furnizuesi të përditësojë klientin.

Përgatitja vendase ka një ruajtje dhe një miratim

Modeli i Apple është ngarko, modifiko, ruaj. Një aplikacion ngarkon preferencat ekzistuese para ruajtjes së tij të parë pas nisjes, ndryshon konfigurimin dhe më pas e ruan atë. Ruajtja raporton një gabim kur nuk mund të vazhdojë, dhe injorimi i atij rezultati e kthen një dështim përgatitjeje në një dështim lidhjeje tre hapa më vonë.

Ruajtja e parë kërkon gjithashtu që përdoruesi të miratojë aplikacionin. Është një kufi sigurie i qëllimshëm, dhe do të thotë që ekzekutimi i parë në një Mac të ri është interaktiv edhe kur çdo lidhje dhe shkëputje e mëvonshme mund të automatizohet. Planifikoni ekzekutimin e parë si një detyrë njerëzore me një njeri të pranishëm. Automatizoni ekzekutimin e dytë e tutje, dhe shkruajeni këtë në runbook që askush të mos premtojë të pamundurën. Një plan vendosjeje që premton një ekzekutim të parë plotësisht pa mbikëqyrje premton diçka që platforma nuk e ofron.

Apple rekomandon gjithashtu të vërtetohet përputhshmëria e serverit me një profil konfigurimi përpara se të mbështeteni në API. Kryerja e asaj kontrolli së pari ndan «serveri nuk do ta pranojë këtë klient» nga «klienti nuk i ruajti kurrë cilësimet», të cilat janë bileta të ndryshme për ekipe të ndryshme.

Çfarë mund të supozojë një komandë nisjeje e përsëritshme

Pas përgatitjes, një skript mund të synojë me siguri lidhjen ekzistuese përmes ndërfaqes së pronarit të saj. Jepini identitetin e qëndrueshëm të lidhjes plus veprimin që dëshironi, dhe asgjë tjetër. Nuk duhet të lexojë një rrugë preferencash të hamendësuar, dhe nuk duhet të supozojë se emri i shfaqur në menu është unik në të gjithë sistemin.

Për lidhjet vendase, një kërkesë sesioni e emërtuar si scutil --nc start është një veprim kontrolli. Nuk instalon cilësime serveri, nuk importon kredenciale dhe nuk kryen autorizimin e ruajtjes së parë. Trajtojeni si hapin e fundit të një zinxhiri, kurrë si të gjithë zinxhirin.

Mbani sekretet jashtë argumenteve të rreshtit të komandës dhe jashtë daljes normale diagnostike. Cilido mekanizëm identiteti që zgjodhi vendosja, ai është ai ku duhet të mbështetet komanda e nisjes, dhe një fjalëkalim i ngjitur në historikun e shell është një gjetje në çdo rishikim.

Dy kontrolle pranimi

Kontrolli i parë është përgatitja: merrni një Mac të sapoinstaluar dhe provoni që konfigurimi ekziston, i përket menaxherit të duhur dhe është plotësisht i miratuar. Bëjeni këtë përpara se të testoni lidhshmërinë, sepse një test lidhjeje në një makinë të papërgatitur nuk provon asgjë për skriptin.

Kontrolli i dytë është sesioni: lidhuni, arrini burimin e autorizuar dhe shkëputuni pastër. Tani çdo dështim ka një pronar, dhe ky është përfitimi praktik i ndarjes së dy punëve. Një profil që mungon është problem shpërndarjeje, një gabim ruajtjeje është problem miratimi, një hyrje e refuzuar është problem vërtetimi, dhe një afat i skaduar pas një nisjeje të suksesshme është shtresa e sesionit. Asnjë prej tyre nuk është «skripti është i prishur».