ข้อความผู้ดูแลระบบของ VPN บน Mac: การติดตั้ง ส่วนขยาย หรือนโยบาย

ข้อความขอรหัสผ่านจากไคลเอนต์ VPN ดูเหมือนใช้แทนกันได้ แต่ไม่ได้เป็นเช่นนั้น ด้านหลังกล่องโต้ตอบที่คล้ายกันมีสี่การกระทำที่แตกต่างกันซ่อนอยู่ คือ การเขียนไฟล์ลงตำแหน่งที่ได้รับการป้องกันระหว่างการติดตั้ง การเพิ่มหรือแก้ไขการตั้งค่าเครือข่าย การเปิดใช้งานส่วนขยายระบบที่รับส่งข้อมูล และการปฏิบัติตามนโยบายที่เซิร์ฟเวอร์จัดการกำหนดไว้แล้ว แต่ละอย่างมีเจ้าของต่างกัน ขอบเขตผลกระทบต่างกัน และวิธีตรวจสอบว่าสำเร็จต่างกัน การจับคู่ข้อความที่คุณเห็นเข้ากับหนึ่งในสี่ข้อนี้คือโจทย์ทั้งหมด

การอนุมัติสามแบบที่ดูเหมือนกัน

การอนุญาตของผู้ติดตั้งเป็นกรณีที่ง่ายที่สุด แพ็กเกจเขียนลงไดเรกทอรีที่ผู้ใช้ทั่วไปแก้ไขไม่ได้ และ macOS ขอข้อมูลรับรองผู้ดูแลระบบเพื่ออนุญาต ระบบไม่ได้ตัดสินว่าโปรแกรมปลอดภัยหรือไม่ แต่ตัดสินว่าคุณเขียนลงตรงนั้นได้หรือไม่ นั่นคือเหตุผลที่แพ็กเกจติดตั้งได้เรียบร้อยแต่ยังไร้ประโยชน์ การอนุมัติการติดตั้งไม่ได้บอกอะไรเลยว่าโค้ดจะได้รับอนุญาตให้ทำงานภายหลังหรือไม่ หลังติดตั้งแล้ว แอปอาจยังต้องได้รับการอนุมัติครั้งที่สองก่อนจะมีผลต่อเครือข่าย

การอนุญาตการตั้งค่าเครือข่ายครอบคลุมการเปลี่ยนแปลงในรายการเชื่อมต่อของระบบ การเพิ่มบริการ VPN หรือการแก้ไขค่าที่ผู้ดูแลเครือข่ายกำหนดไว้ ต้องยกระดับสิทธิ์ เพราะคำจำกัดความเหล่านั้นส่งผลต่อทุกบัญชีบนเครื่อง การอนุมัตินี้ให้อำนาจในการตั้งค่า ไม่ใช่อำนาจเหนือทราฟฟิก

การอนุมัติส่วนขยายคือสิ่งที่กำหนดว่าข้อมูลจะเดินทางอย่างไร ไคลเอนต์สมัยใหม่ติดตั้งส่วนขยายระบบที่ macOS โหลดเข้าสู่ระบบ และ macOS ต้องการการตัดสินใจที่ชัดเจนในความเป็นส่วนตัวและความปลอดภัย หรือรายการเข้าสู่ระบบและส่วนขยาย ก่อนจะเปิดใช้งาน กรณีที่สี่คือ Mac ที่ถูกจัดการ ซึ่งนโยบายอนุมัติส่วนขยายไว้ล่วงหน้าแล้วและผู้ใช้ไม่เห็นกล่องโต้ตอบใด ๆ

การอนุมัติแต่ละแบบเปลี่ยนอะไรจริง ๆ

ผู้ติดตั้งแก้ไขไฟล์บนดิสก์ และผลของมันสิ้นสุดเมื่อไฟล์ถูกนำออก ยกเว้นสิ่งที่หลงเหลือ การตั้งค่าเครือข่ายเพิ่มคำจำกัดความของบริการที่ปรากฏในรายการเชื่อมต่อและอาจถูกเรียกใช้อีกครั้งด้วยกฎตามต้องการ การอนุมัติส่วนขยายเปลี่ยนโค้ดที่ระบบจะโหลดและให้ทำงานต่อ ซึ่งเป็นเหตุผลที่มันอยู่รอดจากการถอนการติดตั้งแอปที่มองเห็นได้ในบางกระบวนการ ถอนแพ็กเกจแอปไม่ได้ลบส่วนขยายเสมอไป และส่วนขยายที่ถูกทิ้งไว้ยังคงสิทธิ์เครือข่ายของมัน

ความแตกต่างนี้ทำนายอาการได้ ติดตั้งแล้วแต่ไม่เคยเชื่อมต่อมักหมายความว่าส่วนขยายไม่ได้รับการอนุมัติที่ใดเลย เชื่อมต่อได้แต่การตั้งค่ากลับไปเป็นเหมือนเดิมเมื่อมีการเปลี่ยนแปลงครั้งถัดไปมักหมายความว่าคำจำกัดความนั้นอยู่ในความดูแลของนโยบายการจัดการ

ลายเซ็นและผู้เผยแพร่เป็นตัวกำหนดคำตอบ

ก่อนอนุมัติ ให้อ่านว่าใครเป็นผู้ลงนามในสิ่งนั้น ไม่ใช่สิ่งที่ไอคอนในกล่องโต้ตอบบอกเป็นนัย การตรวจสอบในเครื่องสองอย่างก็เพียงพอที่จะเห็นหน่วยงานผู้ลงนามและดูว่าการประเมินของระบบผ่านบนเครื่องนี้หรือไม่

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

แพ็กเกจที่ไม่ได้ลงนามหรือไม่ได้ผ่านการรับรองไม่ใช่สิ่งอันตรายโดยอัตโนมัติ แต่สมควรได้รับการตัดสินต่างจากเวอร์ชันที่ลงนามแล้วจากผู้เผยแพร่ที่คุณตั้งใจ แพ็กเกจที่มาทางข้อความแทนที่จะมาจากเว็บไซต์ของผู้เผยแพร่เองคือกรณีที่คำตอบคือไม่

เปรียบเทียบตัวระบุทีมกับตัวตนที่ผู้เผยแพร่ประกาศไว้ แทนที่จะเชื่อชื่อที่แสดงของแอป เพราะชื่อนั้นนำกลับมาใช้ซ้ำได้ง่าย แต่ตัวระบุทำไม่ได้ หากผู้เผยแพร่ประกาศตัวระบุไว้ในคู่มือการติดตั้ง หน้านั้นคือแหล่งอ้างอิงสำหรับการเปรียบเทียบ และเป็นที่ซึ่งควรแจ้งความไม่ตรงกัน ไคลเอนต์จากผู้ขายต่อ บิลด์ที่บรรจุใหม่ หรือสำเนาแบบพกพาจากฟอรัมสมควรถูกสงสัยมากกว่าการดาวน์โหลดที่ลงนามแล้วของผู้เผยแพร่รายเดียวกัน

เมื่อนโยบายเป็นเจ้าของการตัดสินใจ

บน Mac ของบริษัท ผู้ดูแลระบบอาจตัดสินใจไว้แล้ว โปรไฟล์การจัดการสามารถส่งคำจำกัดความ VPN อนุมัติส่วนขยายล่วงหน้า และล็อกการเชื่อมต่อจนไม่สามารถลบได้ ในการจัดวางแบบนั้น การขอให้กรอกรหัสผ่านมักเป็นการขอให้ล้มล้างการตัดสินใจที่ไม่เคยเป็นของคุณเลย

การลดความปลอดภัยตอนเริ่มระบบหรือถอดการจัดการออกเพื่อบังคับให้ติดตั้ง จะเปลี่ยนแบบจำลองภัยคุกคามของเครื่องอย่างถาวรเพื่อแก้ปัญหาเพียงชั่วคราว การแลกเปลี่ยนแบบนั้นแทบไม่เคยทำอย่างรู้ตัว มักเกิดขึ้นขณะทำตามโพสต์ในฟอรัม ให้ถามผู้ดูแลระบบถึงเส้นทางที่รองรับแทน ซึ่งอาจง่ายเพียงส่งโปรไฟล์ซ้ำหรืออนุมัติส่วนขยายฝั่งเซิร์ฟเวอร์ หากผู้ดูแลระบบอนุมัติไม่ได้ คำตอบนั้นคือข้อค้นพบ ไม่ใช่อุปสรรคที่ต้องหลบเลี่ยง

ยืนยันสถานะหลังการอนุมัติ

เมื่อได้รับการอนุมัติที่ได้รับอนุญาตแล้ว ให้ตรวจสอบสิ่งที่ระบบคิดแทนสิ่งที่ไคลเอนต์อ้าง รายการส่วนขยายรายงานสถานะการเปิดใช้งานโดยไม่ต้องใช้เครื่องมือของบุคคลที่สามใด ๆ

systemextensionsctl list

รายการที่แสดงว่าเปิดใช้งานแล้วเป็นของตัวระบุทีมที่คุณตรวจสอบไปก่อนหน้านี้ รายการที่แสดงว่าสิ้นสุดแล้วและรอการอนุมัติจากผู้ใช้ อธิบายไคลเอนต์ที่เริ่มทำงานแต่ไม่เคยรับส่งข้อมูล หากข้อความปรากฏกลับมาหลังทุกครั้งที่ลอง ให้บันทึกข้อความที่แน่นอนและเวอร์ชันของไคลเอนต์ เพราะการอนุมัติซ้ำมักหมายความว่าส่วนขยายกำลังถูกแทนที่โดยไม่ได้ปิดการใช้งานตัวก่อนหน้า และนั่นเป็นเคสสนับสนุน ไม่ใช่ปัญหารหัสผ่าน บันทึกเวอร์ชันก่อนโทรหาศูนย์สนับสนุน เพราะการแก้ไขอาจมีอยู่แล้วในบิลด์ใหม่กว่า และบทสนทนาจะเริ่มจากตรงนั้น