Mac VPN On Demand: SSID eşleşmesi gerçekte neyi kanıtlar?
SSID eşleşmesi bir kural koşuludur, güven kanıtı değildir. On Demand kuralını kurun, bilinmeyen ağlar için varsayılanı seçin ve engellemeyi ayrı tutun.
VPN’i ofis Wi-Fi’i dışında her yerde bağlamak iki satırlık bir politika gibi görünür ve zor kısım hiçbir zaman bir ağ adını tanımak olmadı. Zor kısım, eşleşen bir adın neyi kanıtlamasına izin verildiğine karar vermektir. Herhangi bir erişim noktası tanıdık bir SSID yayınlayabilir ve tek bir adrese başarılı bir ping yalnızca tek bir sorgunun yanıt aldığını kanıtlar. İki gözlemden hiçbiri Mac’in kimliği doğrulanmış bir iç ağda olduğunu ortaya koymaz.
Ad bir kimlik değildir
SSID bir radyonun yayınladığı bir etikettir. Bir anahtar, sertifika ya da donanımın kime ait olduğuna dair bir beyan değildir ve bir etkinlik mekânı ya da komşu ofis aynı diziyi hiçbir koordinasyon olmadan yayınlayabilir. Etiketi korumayı kapatma talimatı olarak görmek, kararı en yakın erişim noktasını yapılandıran kişiye bırakır.
Ping testi daha ince bir nedenle başarısız olur: erişilebilirlik hakkındaki bir soruyu yanıtlar, üyelik hakkındaki bir soruyu değil. Yanıt veren bir hedef her yerden erişilebilir olabilir, yalnızca karar vermeye çalıştığınız tünel üzerinden erişilebilir olabilir ya da yanıt gibi görünen bir şey döndüren bir captive portal olabilir. Erişilebilirlik yararlı bir gerçek ve kötü bir güven sınırıdır.
On Demand bir kural kümesini nasıl değerlendirir
Apple’ın On Demand modeli bir eylemi isteğe bağlı ağ koşullarıyla eşleştirir ve kurallar sırayla değerlendirilir: koşullarının tümü eşleşen ilk kural eylemi sağlar, geri kalanlara bakılmaz. Bu sıralama politikanın kendisidir, bu yüzden «her ihtimale karşı» eklenen bir kural, çalışan bir davranışı sessizce yeniden yazabilir.
SSID koşulu geçerli birincil bağlı ağı ifade eder, bir taramada görünen her adı değil. Bu üç ayrı durum üretir ve bunları ikiye indirmek olağan yapılandırma hatasıdır:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Politikanın yaşadığı yerde yapılandırın
Onaylanmış bir VPN istemcisi ya da bir yönetim iş akışı bu kuralın ait olduğu yerdir ve farklı sağlayıcılar mevcut denetimlerin farklı alt kümelerini sunar. Dolayısıyla o panelde eksik bir seçenek, istemcinin onu sunmadığı anlamına gelir, platformun onu ifade edemeyeceği anlamına değil.
Otomatik etkinleştirme ayrıca insan olmadan tamamlanabilecek bir kimlik doğrulama düzeni gerektirir; örneğin bir sertifika ya da desteklenen başka bir yöntem. Saklanan tek kullanımlık kod böyle bir düzen değildir ve kimlik doğrulama tamamlanamazken tetiklenen bir kural, arka planda sessizce başarısız olan bir bağlantı denemesi üretir.
Runbook’a yazmaya değer iki örüntü
Birincisi taklit edilen ad. Bir konferans mekânı, bir otel ya da aynı binadaki bir kiracı, kuralınızın «içeride» saydığı diziyi yayınlar ve koruma tam olarak en az istediğiniz yerde kapanır. Ad yalan söylemedi; kural ona yanıtlayamayacağı bir soru sordu.
İkincisi kendini bozguna uğratan sorgu. Bir betik özel bir adrese ping atar, tünel üzerinden bir yanıt görür, zaten iç ağda olduğu sonucuna varır ve bağlantıyı keser. Sonra sorgu başarısız olur, bu yüzden betik yeniden bağlanır ve tekrarlar, her bir adım doğru görünürken tünel salınır. Sonucu tünele bağlı olan bir test, tünelin var olup olmaması gerektiğine de karar veremez.
Varsayılana karar verin, sonra ayrı olarak uygulayın
Bilinmeyen ağ durumu ve kablolu durum, miras alınan bir varsayılan yerine açık yanıtlar gerektirir. Sistem ağı hâlâ sınıflandırırken ya da tüneli kaldırırken korunan trafiğin engellenmiş kalması gerekiyorsa, bu kendi desteklenen yaptırım denetimini gerektirir; bir On Demand tetikleyicisi bağlantı davranışı sağlar, engelleme garantisi değil.
Doğru yazıldığında yönetici kuralı onaylanmış istisnayı, onu gerekçelendiren kanıtları ve bu kanıtlar yokken bilinçli geri çekilmeyi belirtir. Bir Wi-Fi adını tanımak o karar için meşru bir girdidir. Kararın gerekçesi değildir ve asla kuraldaki tek satır olmamalıdır.