Mac VPN On Demand: vad bevisar egentligen en SSID-träff?
En SSID-träff är ett regelvillkor, inte ett bevis på förtroende. Bygg On Demand-regeln, välj standarden för okända nätverk och håll blockeringen åtskild.
Att ansluta VPN överallt utom på kontorets Wi-Fi låter som en policy på två rader, och den svåra delen har aldrig varit att känna igen ett nätverksnamn. Den svåra delen är att avgöra vad ett matchande namn får bevisa. Vilken åtkomstpunkt som helst kan annonsera en bekant SSID, och en lyckad ping till en adress bevisar bara att en enda förfrågan fick svar. Ingen av de två observationerna fastställer att Macen finns på ett autentiserat internt nätverk.
Ett namn är inte en identitet
En SSID är en etikett som en radio sänder ut. Det är inte en nyckel, ett certifikat eller ett påstående om vem som äger hårdvaran, och en evenemangslokal eller ett grannkontor kan sända ut samma sträng utan någon samordning. Att behandla etiketten som en instruktion att stänga av skyddet lämnar beslutet till den som konfigurerade närmaste åtkomstpunkt.
Ping-testet misslyckas av en mer subtil anledning: det svarar på en fråga om nåbarhet, inte om medlemskap. Ett mål som svarar kan vara nåbart varifrån som helst, kan bara vara nåbart genom tunneln du försöker ta ställning till, eller kan vara en captive portal som returnerar något som liknar ett svar. Nåbarhet är ett användbart faktum och en dålig förtroendegräns.
Hur On Demand utvärderar en regeluppsättning
Apples On Demand-modell kopplar en åtgärd till valfria nätverksvillkor, och reglerna utvärderas i ordning: den första regeln vars alla villkor stämmer ger åtgärden, och resten undersöks inte. Den ordningen är policyn, och därför kan en regel som läggs till «för säkerhets skull» tyst skriva om ett beteende som fungerade.
SSID-villkoret avser det aktuella primära anslutna nätverket, inte varje namn som syns i en skanning. Det ger tre olika tillstånd, och att slå ihop dem till två är det vanliga konfigurationsfelet:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Konfigurera det där policyn bor
En godkänd VPN-klient eller ett hanteringsarbetsflöde är platsen där den här regeln hör hemma, och olika leverantörer exponerar olika delmängder av de tillgängliga kontrollerna. En saknad inställning i den panelen betyder därför att klienten inte exponerade den, inte att plattformen inte kan uttrycka den.
Automatisk aktivering kräver också en autentiseringsordning som kan slutföras utan en människa, till exempel ett certifikat eller en annan metod som stöds. En lagrad engångskod är inte den ordningen, och en regel som utlöses medan autentiseringen inte kan slutföras ger ett anslutningsförsök som misslyckas tyst i bakgrunden.
Två mönster som är värda att skriva in i runbooken
Det första är det efterliknade namnet. En konferensanläggning, ett hotell eller en hyresgäst i samma byggnad sänder ut strängen som din regel behandlar som «inne», och skyddet stängs av precis där du minst skulle vilja det. Namnet ljög inte; regeln ställde en fråga till det som det inte kan svara på.
Det andra är den självbesegrande testen. Ett skript pingar en privat adress, ser ett svar genom tunneln, drar slutsatsen att det redan är på det interna nätverket och kopplar från. Sedan misslyckas testet, så skriptet återansluter och upprepar, och tunneln svänger medan varje enskilt steg ser korrekt ut. Ett test vars resultat beror på tunneln kan inte samtidigt avgöra om tunneln borde finnas.
Bestäm standarden och genomdriv den separat
Fallet med okänt nätverk och fallet med kabel kräver uttryckliga svar i stället för en ärvd standard. Om skyddad trafik måste förbli blockerad medan systemet fortfarande klassificerar nätverket eller reser tunneln, kräver det en egen kontroll för genomdrivande som stöds; en On Demand-utlösare ger anslutningsbeteende, inte en blockeringsgaranti.
Rätt skriven anger administratörsregeln det godkända undantaget, bevisen som motiverar det och den avsiktliga återgången när bevisen saknas. Att känna igen ett Wi-Fi-namn är en legitim indata för det beslutet. Det är inte motiveringen till beslutet, och det bör aldrig vara den enda raden i regeln.