Mac VPN yönetici istemi: kurulum, uzantı yoksa ilke mi?

Bir VPN istemcisinin parola istemleri birbirinin yerine geçebilir görünür ve değildir. Benzer bir iletişim kutusunun arkasında dört ayrı eylem saklanır: kurulum sırasında korunan bir konuma dosya yazmak, ağ yapılandırması eklemek veya değiştirmek, trafiği taşıyan bir sistem uzantısını etkinleştirmek ve yönetim sunucusunun önceden belirlediği bir ilkeye uymak. Her birinin farklı bir sahibi, farklı bir etki alanı ve işe yarayıp yaramadığını doğrulamanın farklı bir yolu vardır. Gördüğünüz mesajı bu dördünden biriyle eşleştirmek, işin tamamıdır.

Üç farklı onay aynı görünür

Yükleyici yetkilendirmesi en basit durumdur: bir paket, standart bir kullanıcının değiştiremediği dizinlere yazar ve macOS buna izin vermek için yönetici kimlik bilgilerini ister. Sistem burada yazılımın güvenli olup olmadığına karar vermiyor; oraya yazma yetkiniz olup olmadığına karar veriyor. Bir paketin temiz kurulup yine de işe yaramamasının nedeni de budur: kurulum onayı, kodun sonradan çalışmasına izin verilip verilmeyeceği hakkında hiçbir şey söylemez. Kurulduktan sonra uygulama, ağ üzerinde etkili olabilmek için hâlâ ikinci bir onaya ihtiyaç duyabilir.

Ağ yapılandırması yetkilendirmesi, sistemin bağlantı listesindeki değişiklikleri kapsar. Bir VPN hizmeti eklemek veya ağ yöneticisinin yapılandırdığı ayarları değiştirmek yükseltme gerektirir, çünkü bu tanımlar makinedeki her hesabı etkiler. Bu onay yapılandırma yetkisi verir, trafik yetkisi değil.

Paketlerin nasıl yol aldığı söz konusu olduğunda önemli olan uzantı onayıdır. Modern bir istemci, macOS'un sisteme yüklediği bir sistem uzantısı kurar ve macOS, onu etkinleştirmeden önce Gizlilik ve Güvenlik veya Giriş Öğeleri ve Uzantılar bölümünde açık bir karar ister. Dördüncü durum, bir ilkenin uzantıyı önceden onayladığı ve kullanıcının hiçbir iletişim kutusu görmediği yönetilen bir Mac'dir.

Her onay gerçekte neyi değiştirir

Yükleyici diskteki dosyaları değiştirir ve dosyalar kaldırıldığında, artıklar dışında, sonuçları biter. Ağ yapılandırması, bağlantı listesinde görünen ve isteğe bağlı kurallarla yeniden etkinleştirilebilen bir hizmet tanımı ekler. Uzantı onayı, sistemin yükleyip çalıştırmaya devam edeceği kodu değiştirir; bu yüzden bazı iş akışlarında görünür uygulamayı kaldırmaya dayanır. Bir uygulama paketini kaldırmak uzantısını her zaman kaldırmaz ve geride kalan bir uzantı ağ ayrıcalıklarını korur.

Bu ayrım belirtiyi öngörür. Kurulu ama hiç bağlanmıyor olması genellikle uzantının hiçbir yerde onaylanmadığı anlamına gelir; bağlanıyor ama ayarlar bir sonraki değişiklikte geri dönüyorsa bu genellikle tanımın bir yönetim ilkesine ait olduğu anlamına gelir.

İmza ve yayıncı yanıtı belirler

Onaylamadan önce, iletişim kutusundaki simgenin ima ettiğine değil, şeyi kimin imzaladığına bakın. İmzalama makamını ve sistemin değerlendirmesinin bu makinede geçip geçmediğini görmek için iki yerel kontrol yeterlidir.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

İmzasız veya noter onayı olmayan bir paket otomatik olarak kötü niyetli değildir, ancak kullanmayı amaçladığınız üreticiden gelen imzalı bir sürümden farklı bir kararı hak eder. Üreticinin kendi sitesinden değil de bir mesaj yoluyla gelen bir paket, yanıtın basitçe hayır olduğu durumdur.

Takım tanımlayıcısını, uygulamanın görünen adına güvenmek yerine üreticinin yayımladığı kimlikle karşılaştırın; çünkü adlar kolayca yeniden kullanılır, tanımlayıcılar kullanılmaz. Üretici tanımlayıcıyı kurulum kılavuzunda yayımlıyorsa, o sayfa karşılaştırma için referanstır ve aynı zamanda bir uyuşmazlığın bildirilmesi gereken yerdir. Bir yeniden satıcıdan, yeniden paketlenmiş bir derlemeden veya forumdan alınmış taşınabilir bir kopyadan gelen istemci, aynı üreticinin imzalı indirmesinden daha fazla şüpheyi hak eder.

Karar bir ilkeye ait olduğunda

Kurumsal bir Mac'te yönetici çoktan karar vermiş olabilir. Bir yönetim profili VPN tanımını dağıtabilir, uzantıyı önceden onaylayabilir ve bağlantıyı kaldırılamayacak şekilde kilitleyebilir. Bu düzenlemede parola girme isteği, genellikle hiç sizin olmayan bir kararı geçersiz kılma isteğidir.

Bir kurulumu zorlamak için başlangıç güvenliğini düşürmek veya yönetimi ayırmak, geçici bir sorunu çözmek için makinenin tehdit modelini kalıcı olarak değiştirir. Bu takas nadiren bilinçli yapılır; genellikle bir forum gönderisini izlerken olur. Bunun yerine yöneticiden desteklenen yolu isteyin; bu, profili yeniden göndermek veya uzantıyı sunucu tarafında onaylamak kadar basit olabilir. Yönetici onaylayamıyorsa, o yanıt bulgudur, etrafından dolaşılacak bir engel değildir.

Onaydan sonra durumu doğrulayın

Yetkili bir onay verildiğinde, istemcinin iddia ettiğini değil sistemin ne düşündüğünü doğrulayın. Uzantı listesi, herhangi bir üçüncü taraf araca ihtiyaç duymadan etkinleştirme durumunu bildirir.

systemextensionsctl list

Etkinleştirilmiş olarak gösterilen bir kayıt, daha önce kontrol ettiğiniz takım tanımlayıcısına aittir; kullanıcı onayı bekleyerek sonlandırılmış olarak gösterilen bir kayıt, başlayıp hiç trafik taşımayan bir istemciyi açıklar. İstem her denemeden sonra geri geliyorsa, tam mesajı ve istemci sürümünü kaydedin, çünkü tekrarlayan bir onay genellikle uzantının önceki devre dışı bırakılmadan değiştirildiği anlamına gelir ve bu bir destek vakasıdır, parola sorunu değil. Desteği aramadan önce sürümü not edin, çünkü düzeltme daha yeni bir derlemede zaten var olabilir ve konuşma oradan başlayacaktır.