Админ упозорење VPN-а на Mac-у: инсталација, проширење или политика?

Упозорења за лозинку од VPN клијента изгледају исто, а нису. Иза сличног дијалога крију се четири различите радње: уписивање датотека на заштићено место током инсталације, додавање или измена мрежне конфигурације, активирање системског проширења које преноси саобраћај, и придржавање политике коју је сервер за управљање већ поставио. Свака има другог власника, други обим утицаја и други начин да се провери да ли је радила. Упаривање поруке коју видите са једном од те четири је цела вежба.

Три различита одобрења изгледају исто

Ауторизација инсталатера је најједноставнији случај: пакет пише у фасцикле које обичан корисник не може да мења, а macOS тражи администраторске податке да то дозволи. Систем не одлучује да ли је софтвер безбедан; одлучује да ли ви смете тамо да пишете. Зато пакет може чисто да се инсталира и ипак буде бескористан: одобрење инсталације ништа не говори о томе да ли ће коду бити дозвољено да ради касније. После инсталације, апликацији може требати друго одобрење пре него што утиче на мрежу.

Ауторизација мрежне конфигурације покрива измене на листи веза система. Додавање VPN услуге или измена подешавања које је подесио мрежни администратор захтева подизање привилегија јер те дефиниције утичу на сваки налог на машини. Ово одобрење даје овлашћење над конфигурацијом, не над саобраћајем.

Одобрење проширења је оно које је важно за то како пакети путују. Савремени клијент инсталира системско проширење које macOS учитава у систем, а macOS пре активирања захтева изричиту одлуку у Приватност и безбедност или у Ставке пријаве и проширења. Четврти случај је управљани Mac, где политика унапред одобрава проширење и корисник уопште не види дијалог.

Шта свако одобрење заиста мења

Инсталатер мења датотеке на диску, а његове последице престају када се датотеке уклоне, осим остатака. Мрежна конфигурација додаје дефиницију услуге која се појављује на листи веза и може поново да се активира правилима на захтев. Одобрење проширења мења који ће код систем учитати и држати у раду, зато у неким токовима посла преживљава деинсталацију видљиве апликације. Уклањање пакета апликације не уклања увек њено проширење, а заостало проширење задржава своје мрежне привилегије.

Та разлика предвиђа симптом. Инсталирано али никада повезано обично значи да проширење није нигде одобрено; повезује се али подешавања се враћају при следећој измени обично значи да дефиницијом управља политика управљања.

Потпис и издавач одлучују одговор

Пре одобрења прочитајте ко је то потписао, а не шта икона дијалога сугерише. Две локалне провере довољне су да видите потписно тело и да ли системска процена пролази на овој машини.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Непотисан или ненотаризован пакет није аутоматски злонамеран, али заслужује другачију одлуку од потписаног пакета добављача којег сте имали на уму. Пакет који је стигао поруком, а не са добављачевог сопственог сајта, је случај у којем је одговор једноставно не.

Упоредите идентификатор тима са објављеним идентитетом добављача уместо да верујете приказаном имену апликације, јер се имена лако поново користе, а идентификатори не. Ако добављач објављује идентификатор у свом водичу за инсталацију, та страница је референца за поређење и уједно место где неслагање треба пријавити. Клијент од препродавца, препакована изградња или преносива копија са форума заслужује више сумње од потписаног преузимања истог добављача.

Када политика поседује одлуку

На корпоративном Mac-у администратор је можда већ одлучио. Профил управљања може да достави VPN дефиницију, унапред одобри проширење и закључа везу тако да се не може уклонити. У таквом уређењу захтев за унос лозинке је често захтев да се поништи одлука која никада није била ваша.

Смањење безбедности подизања или одвајање управљања да би се инсталација форсирала трајно мења модел претњи машине да би се решио привремени проблем. Та размена се ретко чини свесно; обично се дешава док се прати објава на форуму. Уместо тога питајте администратора за подржани пут, који може бити једноставан као поновно слање профила или одобравање проширења на серверу. Ако администратор не може да га одобри, тај одговор је налаз, а не препрека коју треба заобићи.

Потврдите стање после одобрења

Када је дато овлашћено одобрење, проверите шта систем мисли, а не шта клијент тврди. Листа проширења извештава о стању активирања без потребе за алатом треће стране.

systemextensionsctl list

Запис приказан као активиран припада идентификатору тима који сте раније проверили; запис приказан као заустављен и који чека корисничко одобрење објашњава клијента који се покреће и никада не преноси саобраћај. Ако се упозорење враћа после сваког покушаја, забележите тачну поруку и верзију клијента, јер понављано одобрење обично значи да се проширење замењује без деактивације претходног, а то је случај за подршку, не проблем са лозинком. Забележите верзију пре позива подршци, јер исправка можда већ постоји у новијој изградњи и разговор ће почети одатле.