Administratörsfråga för Mac-VPN: installation, utökning eller princip?

Lösenordsfrågor från en VPN-klient ser likadana ut och är det inte. Fyra olika åtgärder gömmer sig bakom en liknande dialog: att skriva filer till en skyddad plats under installationen, att lägga till eller ändra en nätverkskonfiguration, att aktivera en systemutökning som bär trafik, och att följa en princip som en hanteringsserver redan har satt. Var och en har en annan ägare, en annan påverkansradie och ett annat sätt att verifiera att den fungerade. Att matcha meddelandet du ser mot en av de fyra är hela övningen.

Tre olika godkännanden ser likadana ut

Installationsprogrammets auktorisering är det enklaste fallet: ett paket skriver till mappar som en vanlig användare inte kan ändra, och macOS frågar efter administratörsuppgifter för att tillåta det. Systemet avgör inte om programvaran är säker; det avgör om du får skriva där. Det är också därför ett paket kan installeras rent och ändå vara oanvändbart: installationsgodkännandet säger ingenting om koden tillåts köra efteråt. Efter installationen kan appen fortfarande behöva ett andra godkännande innan den kan påverka nätverket.

Auktorisering av nätverkskonfigurationen omfattar ändringar i systemets anslutningslista. Att lägga till en VPN-tjänst, eller ändra inställningar som en nätverksadministratör konfigurerat, kräver höjning eftersom dessa definitioner påverkar varje konto på maskinen. Detta godkännande ger konfigurationsbefogenhet, inte trafikbefogenhet.

Utökningsgodkännandet är det som spelar roll för hur paket färdas. En modern klient installerar en systemutökning som macOS laddar in i systemet, och macOS kräver ett uttryckligt beslut i Integritet och säkerhet eller i Inloggningsobjekt och utökningar innan den aktiveras. Ett fjärde fall är en hanterad Mac, där en princip redan förhandsgodkänner utökningen och användaren inte ser någon dialog alls.

Vad varje godkännande faktiskt ändrar

Ett installationsprogram ändrar filer på disken, och konsekvenserna upphör när filerna tas bort, bortsett från rester. En nätverkskonfiguration lägger till en tjänstedefinition som visas i anslutningslistan och kan återaktiveras av regler på begäran. Ett godkännande av en utökning ändrar vilken kod systemet laddar och håller igång, och därför överlever den avinstallationen av den visuella appen i vissa arbetsflöden. Att ta bort ett app-paket tar inte alltid bort dess utökning, och en kvarlämnad utökning behåller sina nätverksprivilegier.

Skillnaden förutsäger symtomet. Installerad men aldrig ansluten betyder oftast att utökningen inte är godkänd någonstans; ansluter men med inställningar som återgår vid nästa ändring betyder oftast att en hanteringsprincip äger definitionen.

Signatur och utgivare avgör svaret

Innan du godkänner, läs vem som signerade saken i stället för vad dialogens ikon antyder. Två lokala kontroller räcker för att se signeringsmyndigheten och om systemets bedömning passerar på den här maskinen.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Ett osignerat eller onoterat paket är inte automatiskt skadligt, men det förtjänar ett annat beslut än ett signerat från utgivaren du menade. Ett paket som kom via ett meddelande i stället för från utgivarens egen webbplats är fallet där svaret helt enkelt är nej.

Jämför teamidentifieraren med utgivarens publicerade identitet i stället för att lita på appens visningsnamn, eftersom namn är lätta att återanvända och identifierare inte. Om utgivaren publicerar identifieraren i sin installationsguide är den sidan referensen för jämförelsen och också platsen där en avvikelse bör rapporteras. En klient från en återförsäljare, en ompaketerad build eller en portabel kopia från ett forum förtjänar mer misstanke än samma utgivares signerade nedladdning.

När en princip äger beslutet

På en företags-Mac kan administratören redan ha bestämt. En hanteringsprofil kan leverera VPN-definitionen, förhandsgodkänna utökningen och låsa anslutningen så att den inte kan tas bort. I ett sådant arrangemang är begäran att ange ett lösenord ofta en begäran att åsidosätta ett beslut som aldrig var ditt.

Att sänka startsäkerheten eller koppla bort hanteringen för att tvinga fram en installation ändrar maskinens hotmodell permanent för att lösa ett tillfälligt problem. Det bytet görs sällan medvetet; det sker oftast när man följer ett foruminlägg. Fråga administratören om den stödda vägen i stället, som kan vara så enkel som att skicka profilen igen eller godkänna utökningen på serversidan. Om administratören inte kan godkänna den är det svaret fyndet, inte ett hinder att gå runt.

Bekräfta tillståndet efter godkännandet

När ett auktoriserat godkännande har getts, verifiera vad systemet anser i stället för vad klienten hävdar. Utökningslistan rapporterar aktiveringsstatus utan behov av något tredjepartsverktyg.

systemextensionsctl list

En post som visas som aktiverad tillhör teamidentifieraren du kontrollerade tidigare; en post som visas som avslutad och väntar på användargodkännande förklarar en klient som startar och aldrig bär trafik. Om frågan kommer tillbaka efter varje försök, fånga det exakta meddelandet och klientversionen, eftersom ett upprepat godkännande oftast betyder att utökningen ersätts utan att den föregående avaktiveras, och det är ett supportärende, inte ett lösenordsproblem. Notera versionen innan du ringer support, eftersom rättelsen kanske redan finns i en nyare build och samtalet kommer att börja där.