macOS'te oturum açmadan önce VPN: kilit açma, giriş penceresi, oturum
FileVault kilit açma, giriş penceresi ve kullanıcı oturumu ayrı aşamalardır. Oturum açılışında başlayan masaüstü istemcisi yalnızca son aşamayı çözer.
İşte insanlara bir haftaya mal olan bir inanış: bir Mac'in oturum açmadan önce denen tek bir anı vardır ve VPN istemcisi ya o anda başlar ya başlamaz. Aslında makinenin ağ erişiminin önem taşıdığı en az üç anı vardır ve bunları o anda kime kimlik bilgisi tutma izni verildiği ayırır. Oturum açma öğesinden başlatılan istemci bunlardan tam olarak birini kapsar ve o da sonuncusudur.
Tek bir ayarın tüm önyüklemeyi kapsadığı efsanesi
Ürün sayfasını yeniden okuyun ve özelliğin hangi aşamayı adlandırdığına bakın. Oturum açılışında başlat etiketli bir onay kutusu, kullanıcı oturumu oluştuktan sonra çalışan bir oturum açma öğesi anlamına gelir. Gerektiğinde bağlan etiketli bir onay kutusu, istemcinin trafik bir kurala uyduğunda bağlantı açtığı anlamına gelir ve bu yine istemci ile kimlik bilgilerinin kullanılabilir olmasını gerektirir.
İkisi de önyükleme sürecine ulaşmaz. Bu, satıcının kaldırmayı unuttuğu bir sınırlama değil; işletim sisteminin izin verdiği şeydir. Birim açılmadan önce istemci başlatmak için çalışan bir sistem yoktur ve oturum kapandıktan sonra kullanıcının sırları oturumla birlikte gider. İki ayrı duvar ve hiçbiri başka bir onay kutusuna boyun eğmez.
Aşamaları ayırdığınızda özgün soru şekil değiştirir. VPN oturum açmadan önce başlıyor mu diye sormak yerine üç belirli andan hangisinin çalışması gerektiğini sorarsınız ve ardından her birinin farklı bir sahibi olduğunu keşfedersiniz: şifreleme yığını, ağ uzantısı veya kullanıcı oturumu.
Her aşamada gerçekte ne olur
Önyükleme, herhangi bir genel iş için kullanılabilir bir sistem var olmadan önce açılması gereken şifreli bir birimle başlar. Bu açma işlemi sınırlı bir bağlamda sınırlı bir kimlik bilgisi kümesiyle gerçekleşir ve Apple, şifrelenmiş verilerin geçerli bir açma olmadan erişilemez kaldığını açıkça belgeler.
Sonra giriş penceresi gelir; sistem çalışıyordur ama henüz kullanıcı oturumu yoktur. Kullanıcı çıkış yaptıysa kullanıcı bağlamındaki uzantı zaten sona ermiştir ve genel bir sistem uzantısı hâlâ çalışıyor olabilir, ancak çalışmak VPN'inizin ihtiyaç duyduğu kimlik bilgilerini tutmakla aynı şey değildir.
Sonra oturum gelir; burada normal bir istemci giriş anahtarlığını okuyabilir, ikinci bir faktör isteyebilir ve iletilen yolları uygulayabilir. İnsanların oturum açmadan önce diye tanımladığı özelliklerin çoğu aslında bu aşamadır; oturumun başında tetiklenir, öncesinde değil.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
Bir launch daemon neden bulunmayan bir kullanıcı için oturum açamaz
Yükseltilmiş ayrıcalık sorunu çözecekmiş gibi gelir ve çözmez. Launch daemon arkasında kullanıcı oturumu olmayan bir sistem süreci olarak çalışır, bu yüzden açılacak anahtarlık yoktur ve isteğe yanıt verecek kimse yoktur. Bir soket açıp dosya okuyabilir; yapamadığı şey kimlik bilgilerine sahip kullanıcı olmaktır. Ayrıcalık kimlik değildir ve tam bu noktada ikisi karıştırılır.
İnsanların o boşlukta kurduğu şey içinde parola olan bir betiktir ve bu, başladıkları sorundan daha kötü bir sorundur.
Gereksinimin dürüst sürümü daha dardır. Makine kimse yokken korumalı bir kaynağa ulaşmak zorundaysa, o kaynağın kabul ettiği kimlik makinenin bir kişi olmadan tutabileceği bir kimlik olmalıdır: cihaz sertifikası, sistem anahtarlığındaki bir kimlik bilgisi veya ikinci faktörü birinin cebindeki telefona gönderilen bildirim olmayan bir hesap. Bu kimliği bilinçli olarak tasarlayın; aşama sorusu genellikle kendini yanıtlar.
Windows'un oturum açma öncesi özelliği buraya taşınmaz
Windows'un bazı uzaktan erişim ürünleri için belgelenmiş bir oturum açma öncesi erişim mekanizması vardır ve ad, yetenekten daha iyi yol alır. Windows dağıtım kılavuzunda açıklanan bir özellik, aynı satıcının macOS'ta eşdeğerini uygulayıp uygulamadığı hakkında size hiçbir şey söylemez.
Mac donanımını, macOS sürümünü, istemci sürümünü ve gerçekten kullandığınız kimlik doğrulama yöntemini kapsayan bir beyan isteyin. Genel bir destek iddiası yeterli değildir, çünkü çalışan ile çalışmayan arasındaki fark çoğu zaman o dördünden birindedir.
Satıcı yanıt veremiyorsa yanıt odur. Oturum aşamasını planlayın ve gözetimsiz durum için bir alternatif tasarlayın; boşluğu dağıtım sırasında keşfetmek yerine.
Bunun yerine ne istenmeli
Gereksinimi aşamaların diliyle yazın. Hangi kaynak, kime gerekli, hangi bağlamda ve bağlantı henüz yokken hangi kabul edilebilir gecikmeyle?
Yanıt oturum açan ve sonra tünele ihtiyaç duyan bir kullanıcıysa, gerektiğinde bağlanma ve bir başlangıç öğesi yeterlidir ve ucuzdur. Yanıt gece yeniden başlayan ve rapor vermesi gereken bir makineyse, tasarımın desteklenen bir disk açma yoluna, cihaz kimliğine ve ağ hiç kalkmadığında çalışan bir kurtarma sürecine ihtiyacı vardır. Yanıt tünele bağlı kurumsal oturum açmaysa, oturum açma, kimlik ve VPN tasarımları ayrı ayrı satın alınmak yerine birlikte kurulmalıdır.
Apple'ın FileVault belgeleri kilit açma aşaması için doğru başlangıç noktasıdır. Sonrasındaki her şey, satın almadan önce satıcı beyanının çözmesi gereken istemci ve kimlik sorunudur.