Mac VPN On Demand: шта SSID подударање заправо доказује?
SSID подударање је услов правила, а не доказ поверења. Изградите On Demand правило, изаберите подразумевану вредност за непознате мреже и држите блокирање одвојено.
Повезивање VPN-а свуда осим на канцеларијском Wi-Fi-ју звучи као правило од два реда, а тешки део никада није био препознавање назива мреже. Тешки део је одлучити шта подударни назив сме да докаже. Било која приступна тачка може да емитује познати SSID, а успешан ping на једну адресу доказује само да је један упит добио одговор. Ниједно од тих запажања не доказује да је Mac на аутентификованој интерној мрежи.
Назив није идентитет
SSID је ознака коју радио емитује. Није кључ, сертификат ни изјава о томе коме припада хардвер, а место догађаја или суседна канцеларија могу да емитују исти низ без икакве координације. Ако се ознака схвати као упутство да се заштита искључи, одлука прелази на онога ко је конфигурисао најближу приступну тачку.
Ping тест пада због суптилнијег разлога: одговара на питање о доступности, а не о чланству. Мета која одговара може бити доступна са сваке стране, може бити доступна само кроз тунел о коме управо одлучујете, или може бити captive портал који враћа нешто што изгледа као одговор. Доступност је корисна чињеница и лоша граница поверења.
Како On Demand процењује скуп правила
Apple-ов On Demand модел спаја радњу са необавезним мрежним условима, а правила се процењују редом: прво правило чији се сви услови поклапају даје радњу, а остала се не разматрају. Тај редослед је политика, зато правило додато «за сваки случај» може тихо да препише понашање које је радило.
Услов SSID односи се на тренутну примарну повезану мрежу, а не на сваки назив видљив при скенирању. То даје три различита стања, а њихово свођење на два уобичајена је грешка у конфигурацији:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Конфигуришите то тамо где политика живи
Одобрени VPN клијент или управни ток посла место је коме ово правило припада, а различити добављачи излажу различите подскупове доступних контрола. Зато опција која недостаје на том панелу значи да је клијент није изложио, а не да платформа не може да је изрази.
Аутоматско активирање такође тражи аутентификацијски поступак који може да се заврши без човека, попут сертификата или друге подржане методе. Сачувани једнократни код није тај поступак, а правило које се активира док се аутентификација не може довршити ствара покушај повезивања који тихо не успева у позадини.
Два обрасца која вреди записати у runbook
Први је опонашани назив. Конференцијско место, хотел или станар у истој згради емитује низ који ваше правило третира као «унутра», и заштита се искључује тачно тамо где бисте то најмање желели. Назив није лагао; правило му је поставило питање на које он не може да одговори.
Други је тест који сам себе побеђује. Скрипта пингује приватну адресу, види одговор кроз тунел, закључује да је већ на интерној мрежи и прекида везу. Затим тест падне, па се скрипта поново повезује и понавља, а тунел осцилује док сваки појединачни корак изгледа исправно. Тест чији резултат зависи од тунела не може истовремено да одлучи треба ли тунел да постоји.
Одлучите подразумевано и спроведите то одвојено
Случај непознате мреже и случај кабла траже изричите одговоре уместо наслеђене подразумеване вредности. Ако заштићени саобраћај мора да остане блокиран док систем још разврстава мрежу или подиже тунел, то захтева сопствену подржану контролу спровођења; On Demand окидач даје понашање повезивања, а не гаранцију блокирања.
Исправно написано, администраторско правило наводи одобрени изузетак, доказе који га оправдавају и намерно повлачење када ти докази недостају. Препознавање Wi-Fi назива је легитиман улаз у ту одлуку. То није оправдање одлуке и никада не би требало да буде једини ред у правилу.