Mac VPN On Demand: ano ba talaga ang pinapatunayan ng tugma ng SSID?
Ang tugma ng SSID ay kundisyon ng patakaran, hindi ebidensya ng tiwala. Buuin ang patakaran ng On Demand, piliin ang default para sa mga hindi kilalang network at panatilihing hiwalay ang pagharang.
Ang pagkonekta ng VPN sa lahat ng lugar maliban sa Wi-Fi ng opisina ay parang patakarang dalawang linya, at ang mahirap na bahagi ay hindi kailanman ang pagkilala sa pangalan ng network. Ang mahirap na bahagi ay ang pagpapasya kung ano ang pinapayagang patunayan ng tugmang pangalan. Anumang access point ay maaaring mag-broadcast ng pamilyar na SSID, at ang matagumpay na ping sa isang address ay nagpapatunay lamang na isang probe ang nakatanggap ng sagot. Wala sa dalawang obserbasyon ang nagtatatag na ang Mac ay nasa isang authenticated na panloob na network.
Ang pangalan ay hindi pagkakakilanlan
Ang SSID ay isang label na ipinapadala ng radyo. Hindi ito susi, sertipiko o pahayag tungkol sa kung kanino ang hardware, at ang isang venue o kalapit na opisina ay maaaring mag-broadcast ng parehong string nang walang anumang koordinasyon. Ang pagtrato sa label bilang utos na patayin ang proteksyon ay nagbibigay ng desisyon sa kung sino man ang nag-configure ng pinakamalapit na access point.
Nabigo ang pagsubok sa ping sa mas banayad na dahilan: sinasagot nito ang tanong tungkol sa maabot, hindi tungkol sa pagiging miyembro. Ang target na tumutugon ay maaaring maabot mula saanman, maaaring maabot lamang sa pamamagitan ng tunnel na sinusubukan mong pagpasyahan, o maaaring isang captive portal na nagbabalik ng isang bagay na parang sagot. Ang pagiging maabot ay isang kapaki-pakinabang na katotohanan at isang mahinang hangganan ng tiwala.
Paano sinusuri ng On Demand ang isang set ng patakaran
Ang modelong On Demand ng Apple ay nagpapares ng aksyon sa mga opsyonal na kundisyon ng network, at ang mga patakaran ay sinusuri ayon sa pagkakasunod-sunod: ang unang patakaran na tumutugma ang lahat ng kundisyon ang nagbibigay ng aksyon, at ang iba ay hindi isinasaalang-alang. Ang pagkakasunod-sunod na iyon ay ang patakaran, kaya ang isang patakarang idinagdag «para makasiguro» ay maaaring tahimik na muling magsulat ng pag-uugali na gumagana.
Ang kundisyon ng SSID ay tumutukoy sa kasalukuyang pangunahing konektadong network, hindi sa bawat pangalan na nakikita sa isang scan. Gumagawa ito ng tatlong magkakaibang estado, at ang pagsiksik sa kanila sa dalawa ay ang karaniwang pagkakamali sa configuration:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
I-configure ito kung saan nakatira ang patakaran
Ang isang aprubadong kliyente ng VPN o daloy ng trabaho ng pamamahala ay ang lugar kung saan nararapat ang patakarang ito, at ang iba’t ibang provider ay naglalantad ng iba’t ibang subset ng mga available na kontrol. Kaya ang nawawalang opsyon sa panel na iyon ay nangangahulugang hindi ito inilantad ng kliyente, hindi na hindi ito maipahayag ng platform.
Ang awtomatikong pag-activate ay nangangailangan din ng kaayusan ng pagpapatotoo na makukumpleto nang walang tao, tulad ng sertipiko o iba pang sinusuportahang paraan. Ang naka-store na one-time code ay hindi ganoong kaayusan, at ang patakarang nagti-trigger habang hindi makumpleto ang pagpapatotoo ay gumagawa ng pagtatangkang kumonekta na tahimik na nabigo sa background.
Dalawang pattern na sulit isulat sa runbook
Ang una ay ang ginagayang pangalan. Ang isang venue ng kumperensya, hotel o nangungupahan sa parehong gusali ay nag-broadcast ng string na itinuturing ng iyong patakaran na «loob», at ang proteksyon ay pumapatay sa eksaktong lugar kung saan pinakamaliit mong nais ito. Hindi nagsinungaling ang pangalan; tinanong ito ng patakaran ng tanong na hindi nito kayang sagutin.
Ang pangalawa ay ang probe na tinatalo ang sarili nito. Ang isang script ay nagpi-ping sa isang pribadong address, nakikita ang sagot sa pamamagitan ng tunnel, naghihinuha na nasa panloob na network na ito at humihiwalay. Pagkatapos ay nabigo ang probe, kaya muling kumokonekta ang script at inuulit, at umiindayog ang tunnel habang ang bawat indibidwal na hakbang ay mukhang tama. Ang isang pagsubok na ang resulta ay nakadepende sa tunnel ay hindi rin makapagpapasya kung dapat bang umiral ang tunnel.
Magpasya sa default, pagkatapos ay ipatupad nang hiwalay
Ang kaso ng hindi kilalang network at ang kaso ng kable ay nangangailangan ng malinaw na sagot sa halip na minanang default. Kung ang protektadong trapiko ay dapat manatiling naka-block habang inuuri pa ng system ang network o itinataas ang tunnel, nangangailangan iyon ng sarili nitong sinusuportahang kontrol sa pagpapatupad; ang isang trigger ng On Demand ay nagbibigay ng pag-uugali ng koneksyon, hindi garantiya ng pag-block.
Kapag maayos na naisulat, sinasabi ng patakaran ng administrator ang aprubadong pagbubukod, ang ebidensyang nagbibigay-katwiran dito at ang sinadyang pag-urong kapag wala ang ebidensyang iyon. Ang pagkilala sa isang pangalan ng Wi-Fi ay lehitimong input sa desisyong iyon. Hindi ito ang katwiran ng desisyon, at hindi kailanman dapat itong maging tanging linya sa patakaran.