Маршрут VPN не дає віддаленого входу на ваш Mac

Підключення до робочої VPN саме по собі нічого не каже про те, чи може хтось увійти на ваш Mac з іншого місця. Мають збігтися три окремі речі: мережевий шлях, що досягає машини, працююча служба доступу й дозвіл для конкретного облікового запису користуватися цією службою. Тунель забезпечує лише перше. Усе інше на цій сторінці присвячено перевірці двох інших без припущення про відповідь.

Почніть зі служби або встановленого компонента, який міг би забезпечити віддалений доступ, і перестаньте робити висновок про нього з індикатора підключеного стану в рядку меню.

Три засоби контролю, які люди зливають в один

Досяжність відповідає на питання, чи можуть пакети прибути. Служба спільного доступу відповідає на питання, чи щось слухає машину. Авторизація відповідає на питання, які особи служба приймає і чого вони можуть торкнутися, опинившись усередині. VPN може змінити першу відповідь, не зачіпаючи двох інших, і саме тому це питання постійно дає хибні висновки в обох напрямках.

Настанови Apple щодо Remote Login — добрий конкретний приклад такого поділу, бо вони містяться в певному місці й несуть власний вибір облікових записів. Вони розташовані в System Settings, General, Sharing і описують доступ через SSH і SFTP з вибором дозволених користувачів. Повний доступ до диска для віддалених користувачів — знову окрема опція, що підсилює думку: увімкнути службу не те саме, що надати всі можливості, які служба могла б запропонувати.

Перевірте, що насправді ввімкнено

Пройдіть панеллю Sharing і занотуйте кожну ввімкнену службу, а не лише ту, яку ви очікували. Remote Login, Screen Sharing і File Sharing відкривають кожна іншу поверхню, і кожна має свій список користувачів. Налаштування для SSH нічого не каже про спільний доступ до екрана, а наявність функції спільного доступу в операційній системі нічого не каже про те, чи хтось нею користувався.

Потім складіть перелік того, що ще може давати доступ: агент віддаленої підтримки від третьої сторони, інструмент керування, встановлений під час реєстрації, або сервер спільного доступу до екрана, що входить у комплект із чимось іншим. Вони не з'являються на панелі Sharing, і саме ці компоненти люди забувають під час аудиту ноутбука. Запишіть кожного агента, якого не можете розпізнати, бо невідомий процес із портом прослуховування цікавіший за відомий без нього. Короткий список невідомих кращий за впевнений висновок, побудований на єдиній панелі, яку ви випадково відкрили.

Запитайте адміністратора, що встановила реєстрація

Якщо робоча реєстрація включала профіль конфігурації, схвалення адміністратора або додаткове програмне забезпечення, попросіть людину, яка цим керує, відповісти на три речі: які компоненти встановлено, які дозволи вони мають і що залишається активним після того, як ви відключитеся. Маршрут VPN і привілейований агент кінцевої точки мають дуже різні можливості, і зазвичай лише один із них видно користувачеві.

Для дозволеної схеми віддаленої підтримки отримайте подробиці письмово: які користувачі уповноважені, які операції передбачені, чи з'являється запит на підтвердження і як схема видаляється після завершення роботи. Не надавайте доступ усім користувачам або широкі дозволи на диск лише для того, щоб перевірити, чи може підтримка підключитися, бо така перевірка назавжди розширює межу.

Якщо ви знайшли доказ, якого не чекали

Незвичний журнал з'єднань або ввімкнений перемикач — це зачіпка, а не доказ діяльності конкретної людини. Збережіть відповідні несекретні події, занотуйте час і використовуйте процедуру інцидентів організації або платформи замість того, щоб іти на конфронтацію або видаляти докази в надії, що все вирішиться само.

На керованому пристрої попросіть його власника переглянути запропоновані зміни, перш ніж ви вимкнете засіб контролю, якого вимагає політика. На особистому пристрої, підключеному до робочої мережі, попросіть чітку межу реєстрації й підтримувану процедуру виходу, включно з тим, що видаляється, а що залишається.

Корисна відповідь називає механізм і інстанцію, що стоїть за ним. Вона ніколи не обіцяє ні необмеженого доступу роботодавця, ні повної безпеки через ярлик тунелю, і не плутає маршрут із входом.