VPN рута не даје даљинску пријаву на ваш Mac

Придруживање пословној VPN мрежи само по себи не говори ништа о томе може ли се неко пријавити на ваш Mac са другог места. Морају се поклопити три одвојене ствари: мрежни пут који стиже до рачунара, услуга приступа која ради и дозвола да одређени налог користи ту услугу. Тунел обезбеђује само прво. Све остало на овој страници односи се на проверу друге две без претпостављања одговора.

Почните од услуге или инсталиране компоненте која би омогућила даљински приступ и престаните то да закључујете из индикатора повезаног стања у траци менија.

Три контроле које људи спајају у једну

Доступност одговара на питање могу ли пакети да стигну. Услуга дељења одговара на питање слуша ли нешто на рачунару. Ауторизација одговара на питање које идентитете услуга прихвата и чега смеју да се дотакну када уђу. VPN може да промени први одговор не дирајући друга два, и управо зато ово питање стално даје лоше закључке у оба смера.

Appleова упутства за Remote Login добар су конкретан пример те поделе јер се налазе на одређеном месту и носе сопствене изборе налога. Смештена су под System Settings, General, Sharing и описују SSH и SFTP приступ уз избор дозвољених корисника. Потпуни приступ диску за даљинске кориснике опет је засебна опција, што појачава поенту: укључити услугу није исто што и дати сваку могућност коју услуга може да понуди.

Проверите шта је заиста укључено

Прођите кроз таблу Sharing и забележите сваку укључену услугу, не само ону коју сте очекивали. Remote Login, Screen Sharing и File Sharing свака отвара другу површину и свака има свој списак корисника. Подешавање за SSH не говори ништа о дељењу екрана, а присуство функције дељења у оперативном систему не говори ништа о томе да ли ју је неко користио.

Затим попишите шта би још могло да пружи приступ: агент за даљинску подршку треће стране, алат за управљање инсталиран током уписа или сервер за дељење екрана уграђен у нешто друго. Они се не појављују на табли Sharing и управо њих људи забораве када ревидирају преносни рачунар. Запишите сваког агента који не можете да идентификујете, јер је непознат процес са портом за слушање занимљивији од познатог без њега. Кратак списак непознатих бољи је од самоувереног закључка изграђеног на јединој табли коју сте случајно отворили.

Питајте администратора шта је упис инсталирао

Ако је пословни упис укључивао профил конфигурације, одобрење администратора или додатни софтвер, замолите особу која то води да одговори на три ствари: које су компоненте инсталиране, која овлашћења имају и шта остаје активно након што се одспојите. VPN рута и привилеговани агент крајње тачке имају врло различите могућности, а обично је само један од њих видљив кориснику.

За дозвољени аранжман даљинске подршке прибавите појединости у писаном облику: који су корисници овлашћени, које су операције предвиђене, појављује ли се захтев за потврду и како се аранжман уклања када ангажман заврши. Не додељујте приступ свим корисницима ни широка овлашћења за диск само да бисте проверили може ли се подршка повезати, јер тај тест трајно проширује границу.

Ако нађете доказ који нисте очекивали

Непознат дневник веза или укључен прекидач је траг, а не доказ активности одређене особе. Сачувајте релевантне не-тајне догађаје, забележите времена и користите процес за инциденте организације или платформе уместо да се суочавате с неким или бришете доказе у нади да ће се само решити.

На управљаном уређају замолите његовог власника да прегледа предложене промене пре него што деактивирате контролу коју политика захтева. На личном уређају повезаном са пословном мрежом затражите јасну границу уписа и подржану процедуру одласка, укључујући шта се уклања, а шта остаје.

Користан одговор именује механизам и власт иза њега. Никада не обећава ни неограничен приступ послодавца ни потпуну безбедност због ознаке тунела, и не меша руту с пријавом.