VPN ก่อนเข้าสู่ระบบบน macOS: ปลดล็อก หน้าต่างเข้าสู่ระบบ เซสชัน
การปลดล็อก FileVault หน้าต่างเข้าสู่ระบบ และเซสชันผู้ใช้เป็นขั้นตอนแยกกัน ไคลเอนต์เดสก์ท็อปที่เริ่มเมื่อเข้าสู่ระบบแก้ปัญหาเพียงขั้นตอนสุดท้ายเท่านั้น
นี่คือความเชื่อที่ทำให้ผู้คนเสียเวลาหนึ่งสัปดาห์: ว่า Mac มีช่วงเวลาเดียวที่เรียกว่าก่อนเข้าสู่ระบบ และไคลเอนต์ VPN จะเริ่มตอนนั้นหรือไม่ก็ไม่ใช่ จริง ๆ แล้วเครื่องมีอย่างน้อยสามช่วงเวลาที่การเข้าถึงเครือข่ายมีความสำคัญ แยกจากกันด้วยว่าใครได้รับอนุญาตให้ถือข้อมูลรับรอง ณ จุดนั้น ไคลเอนต์ที่เปิดจากรายการเข้าสู่ระบบครอบคลุมเพียงหนึ่งในนั้น และเป็นช่วงสุดท้าย
ความเชื่อผิด ๆ ที่ว่าการตั้งค่าหนึ่งอย่างครอบคลุมการบูตทั้งหมด
อ่านหน้าผลิตภัณฑ์อีกครั้งและดูว่าคุณลักษณะนั้นระบุขั้นตอนใด ช่องทำเครื่องหมายที่เขียนว่าเริ่มเมื่อเข้าสู่ระบบหมายถึงรายการเข้าสู่ระบบ ซึ่งทำงานหลังจากมีเซสชันผู้ใช้แล้ว ช่องที่เขียนว่าเชื่อมต่อเมื่อจำเป็นหมายถึงไคลเอนต์เปิดการเชื่อมต่อเมื่อทราฟฟิกตรงกับกฎ ซึ่งยังต้องให้ไคลเอนต์และข้อมูลรับรองพร้อมใช้งาน
ทั้งสองอย่างไม่ไปถึงกระบวนการบูต นี่ไม่ใช่ข้อจำกัดที่ผู้ขายลืมเอาออก แต่เป็นสิ่งที่ระบบปฏิบัติการอนุญาต ก่อนที่โวลุ่มจะถูกปลดล็อกไม่มีระบบที่ทำงานอยู่ให้เปิดไคลเอนต์ได้ และหลังออกจากระบบความลับของผู้ใช้ก็จากไปพร้อมเซสชัน กำแพงสองด้านแยกกัน และไม่มีด้านใดยอมต่อช่องทำเครื่องหมายอื่น
เมื่อแยกขั้นตอนออกมา คำถามเดิมก็เปลี่ยนรูป แทนที่จะถามว่า VPN เริ่มก่อนเข้าสู่ระบบหรือไม่ คุณถามว่าช่วงเวลาเฉพาะสามช่วงใดต้องทำงาน แล้วจึงพบว่าแต่ละช่วงมีเจ้าของต่างกัน: ชั้นการเข้ารหัส ส่วนขยายเครือข่าย หรือเซสชันผู้ใช้
สิ่งที่เกิดขึ้นจริงในแต่ละขั้นตอน
การบูตเริ่มด้วยโวลุ่มที่เข้ารหัสซึ่งต้องปลดล็อกก่อนจะมีระบบที่ใช้งานได้สำหรับงานทั่วไปใด ๆ การปลดล็อกนั้นเกิดขึ้นในบริบทจำกัดด้วยชุดข้อมูลรับรองจำกัด และ Apple จัดทำเอกสารไว้อย่างชัดเจนว่าข้อมูลที่เข้ารหัสยังเข้าถึงไม่ได้หากไม่มีการปลดล็อกที่ถูกต้อง
จากนั้นมาถึงหน้าต่างเข้าสู่ระบบ ซึ่งระบบทำงานอยู่แต่ยังไม่มีเซสชันผู้ใช้ ส่วนขยายในบริบทผู้ใช้สิ้นสุดไปแล้วหากผู้ใช้ออกจากระบบ และส่วนขยายระบบส่วนกลางอาจยังทำงานอยู่ แต่การทำงานไม่เหมือนกับการถือข้อมูลรับรองที่ VPN ของคุณต้องการ
จากนั้นมาถึงเซสชัน ซึ่งไคลเอนต์ปกติสามารถ อ่านพวงกุญแจการเข้าสู่ระบบ, ขอปัจจัยที่สอง และใช้เส้นทางที่ถูกส่งมา ผู้ใช้ส่วนใหญ่อธิบายว่าเป็นก่อนเข้าสู่ระบบนั้นจริง ๆ แล้วคือขั้นตอนนี้ ซึ่งทำงานตอนต้นของเซสชันไม่ใช่ก่อนหน้า
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
ทำไม launch daemon จึงเข้าสู่ระบบแทนผู้ใช้ที่ไม่อยู่ไม่ได้
สิทธิ์ที่สูงขึ้นดูเหมือนจะแก้ปัญหาได้ แต่ก็ไม่ได้แก้ปัญหา launch daemon ทำงานเป็นกระบวนการของระบบโดยไม่มีเซสชันผู้ใช้อยู่ข้างหลัง จึงไม่มีพวงกุญแจให้ปลดล็อกและไม่มีคนตอบคำขอ มันเปิดซ็อกเก็ตและอ่านไฟล์ได้ สิ่งที่ทำไม่ได้คือกลายเป็นผู้ใช้ที่เป็นเจ้าของข้อมูลรับรอง สิทธิ์ไม่ใช่ตัวตน และนี่คือจุดที่สองสิ่งนี้สับสน
สิ่งที่ผู้คนสร้างในช่องว่างนั้นคือสคริปต์ที่มีรหัสผ่านอยู่ข้างใน ซึ่งเป็นปัญหาที่แย่กว่าปัญหาที่พวกเขาเริ่มต้น
เวอร์ชันที่ซื่อสัตย์ของข้อกำหนดนั้นแคบกว่า หากเครื่องต้องเข้าถึงทรัพยากรที่ได้รับการป้องกันในขณะที่ไม่มีใครอยู่ ตัวตนที่ทรัพยากรนั้นยอมรับต้องเป็นตัวตนที่เครื่องสามารถถือได้โดยไม่มีคน: ใบรับรองอุปกรณ์ ข้อมูลรับรองในพวงกุญแจของระบบ หรือบัญชีที่ปัจจัยที่สองไม่ใช่การแจ้งเตือนไปยังโทรศัพท์ในกระเป๋าใครบางคน ออกแบบตัวตนนั้นอย่างตั้งใจ แล้วคำถามเรื่องขั้นตอนมักจะตอบตัวเอง
คุณลักษณะก่อนเข้าสู่ระบบของ Windows ใช้ไม่ได้ที่นี่
Windows มีกลไกการเข้าถึงก่อนเข้าสู่ระบบที่จัดทำเอกสารไว้สำหรับผลิตภัณฑ์เข้าถึงระยะไกลบางตัว และชื่อเดินทางได้ดีกว่าความสามารถ คุณลักษณะที่อธิบายในคู่มือการปรับใช้ Windows ไม่ได้บอกอะไรเลยว่าผู้ขายรายเดียวกันใช้สิ่งที่เทียบเท่าบน macOS หรือไม่
ขอถ้อยแถลงที่ครอบคลุมฮาร์ดแวร์ Mac เวอร์ชัน macOS เวอร์ชันไคลเอนต์ และวิธีการพิสูจน์ตัวตนที่คุณใช้จริง การกล่าวอ้างการสนับสนุนทั่วไปไม่เพียงพอ เพราะความแตกต่างระหว่างการทำงานและการไม่ทำงานมักอยู่ที่หนึ่งในสี่สิ่งนั้น
หากผู้ขายตอบไม่ได้ นั่นคือคำตอบ วางแผนขั้นตอนเซสชันและออกแบบทางเลือกสำหรับกรณีที่ไม่มีผู้ดูแล แทนที่จะค้นพบช่องว่างระหว่างการปรับใช้
สิ่งที่ควรขอแทน
เขียนข้อกำหนดด้วยภาษาของขั้นตอน ทรัพยากรใด ใครต้องการ ในบริบทใด และด้วยความล่าช้าที่ยอมรับได้เท่าใดเมื่อการเชื่อมต่อยังไม่มี
หากคำตอบคือผู้ใช้ที่เข้าสู่ระบบแล้วต้องการอุโมงค์ การเชื่อมต่อเมื่อจำเป็นและรายการเริ่มต้นก็เพียงพอและราคาถูก หากคำตอบคือเครื่องที่รีบูตข้ามคืนและต้องรายงาน การออกแบบต้องมีเส้นทางการปลดล็อกดิสก์ที่ได้รับการสนับสนุน ตัวตนอุปกรณ์ และกระบวนการกู้คืนที่ทำงานเมื่อเครือข่ายไม่ขึ้นเลย หากคำตอบคือการเข้าสู่ระบบขององค์กรที่ขึ้นกับอุโมงค์ การออกแบบการเข้าสู่ระบบ ตัวตน และ VPN ต้องสร้างร่วมกันไม่ใช่ซื้อแยก
เอกสาร FileVault ของ Apple เป็นจุดเริ่มต้นที่ถูกต้องสำหรับขั้นตอนการปลดล็อก ทุกอย่างหลังจากนั้นเป็นคำถามเรื่องไคลเอนต์และตัวตนที่ถ้อยแถลงของผู้ขายควรชี้ขาดก่อนซื้อ