En VPN-rutt ger inte fjärrinloggning på din Mac

Att ansluta till ett jobb-VPN säger i sig ingenting om huruvida någon kan logga in på din Mac från en annan plats. Tre separata saker måste stämma: en nätverksväg som når maskinen, en åtkomsttjänst som körs och tillstånd för ett visst konto att använda den tjänsten. Tunneln levererar bara den första. Allt annat på den här sidan handlar om att granska de andra två utan att ta svaret för givet.

Börja med tjänsten eller den installerade komponenten som skulle ge fjärråtkomst, och sluta härleda det från en indikator för ansluten status i menyraden.

Tre kontroller som människor smälter samman till en

Nåbarhet svarar på om paket kan komma fram. En delningstjänst svarar på om något lyssnar på maskinen. Auktorisering svarar på vilka identiteter tjänsten accepterar, och vad de får röra vid när de väl är inne. Ett VPN kan ändra det första svaret utan att röra de andra två, och det är just därför frågan fortsätter att ge dåliga slutsatser i båda riktningarna.

Apples vägledning om Remote Login är ett bra konkret exempel på den uppdelningen, eftersom den ligger på en bestämd plats och bär sina egna kontoval. Den finns under System Settings, General, Sharing, och beskriver SSH- och SFTP-åtkomst med ett urval tillåtna användare. Full diskåtkomst för fjärranvändare är återigen ett eget alternativ, vilket understryker poängen: att slå på en tjänst är inte samma sak som att ge alla de förmågor tjänsten kan erbjuda.

Kontrollera vad som faktiskt är påslaget

Gå igenom Sharing-panelen och notera varje tjänst som är påslagen, inte bara den du förväntade dig. Remote Login, Screen Sharing och File Sharing öppnar var sin yta, och var och en har sin egen användarlista. En inställning för SSH säger ingenting om skärmdelning, och förekomsten av en delningsfunktion i operativsystemet säger ingenting om huruvida någon har använt den.

Inventera sedan vad annat som kan ge åtkomst: en tredjeparts fjärrsupportagent, ett administrationsverktyg installerat vid registreringen eller en skärmdelningsserver som följer med något annat. Dessa syns inte i Sharing-panelen, och det är just dessa komponenter folk glömmer när de granskar en laptop. Skriv ned varje agent du inte kan identifiera, eftersom en okänd process med en lyssnande port är mer intressant än en känd utan. En kort lista över okända är bättre än en självsäker slutsats byggd på den enda panel du råkade öppna.

Fråga administratören vad registreringen installerade

Om jobbregistreringen innefattade en konfigurationsprofil, ett godkännande från en administratör eller extra programvara, be personen som driver det att svara på tre saker: vilka komponenter som installerades, vilka behörigheter de har och vad som förblir aktivt efter att du kopplar från. En VPN-rutt och en privilegierad slutpunktsagent har mycket olika förmågor, och vanligtvis är bara en av dem synlig för användaren.

För en tillåten fjärrsupportordning, skaffa detaljerna skriftligt: vilka användare som är auktoriserade, vilka operationer som avses, om en bekräftelseprompt visas och hur ordningen tas bort när uppdraget är slut. Ge inte åtkomst för alla användare eller breda diskrättigheter bara för att testa om supporten kan ansluta, eftersom det testet permanent vidgar gränsen.

Om du hittar spår som du inte förväntade dig

En okänd anslutningslogg eller en aktiverad switch är ett spår, inte bevis för en viss persons aktivitet. Bevara de relevanta icke-hemliga händelserna, notera tiderna och använd organisationens eller plattformens incidentprocess i stället för att konfrontera någon eller radera bevis i hopp om att det löser sig självt.

På en hanterad enhet, låt ägaren granska föreslagna ändringar innan du inaktiverar en kontroll som policyn kräver. På en personlig enhet som är ansluten till ett jobbnätverk, be om en tydlig registreringsgräns och en stödd utträdesprocedur, inklusive vad som tas bort och vad som blir kvar.

Det användbara svaret namnger mekanismen och den myndighet som ligger bakom. Det lovar aldrig vare sig obegränsad arbetsgivaråtkomst eller fullständig säkerhet på grund av en tunneletikett, och det blandar inte ihop en rutt med en inloggning.