Запит адміністратора у VPN на Mac: встановлення, розширення чи політика?

Запити пароля від клієнта VPN виглядають взаємозамінними, але такими не є. За схожим діалогом ховаються чотири різні дії: запис файлів у захищене місце під час встановлення, додавання або зміна конфігурації мережі, активація системного розширення, яке передає трафік, і дотримання політики, яку вже встановив сервер керування. Кожна має іншого власника, інший масштаб наслідків і інший спосіб перевірити, що вона спрацювала. Зіставити побачене повідомлення з однією з чотирьох — це і є вся вправа.

Три різні схвалення виглядають однаково

Авторизація інсталятора — найпростіший випадок: пакет записує дані в каталоги, які звичайний користувач не може змінювати, і macOS просить облікові дані адміністратора, щоб це дозволити. Система вирішує не те, чи безпечне програмне забезпечення, а те, чи можете ви туди писати. Ось чому пакет може встановитися чисто і все одно бути марним: схвалення встановлення нічого не каже про те, чи дозволять цьому коду працювати далі. Після встановлення застосунку може знадобитися друге схвалення, перш ніж він вплине на мережу.

Авторизація конфігурації мережі охоплює зміни в списку з'єднань системи. Додавання служби VPN або зміна налаштувань, які налаштував мережевий адміністратор, потребує підвищення прав, бо ці визначення впливають на кожен обліковий запис на машині. Це схвалення дає право на конфігурацію, а не право на трафік.

Схвалення розширення — це те, що визначає, як рухаються пакети. Сучасний клієнт встановлює системне розширення, яке macOS завантажує в систему, і macOS вимагає явного рішення в розділі «Конфіденційність і безпека» або «Об'єкти входу та розширення», перш ніж його активувати. Четвертий випадок — керований Mac, де політика вже заздалегідь схвалила розширення і користувач не бачить жодного діалогу.

Що насправді змінює кожне схвалення

Інсталятор змінює файли на диску, і його наслідки закінчуються, коли файли видалено, окрім залишків. Конфігурація мережі додає визначення служби, яке з'являється у списку з'єднань і може бути повторно активоване правилами на вимогу. Схвалення розширення змінює код, який система завантажить і триматиме запущеним, тому воно переживає видалення видимого застосунку в деяких процесах. Видалення пакета застосунку не завжди видаляє його розширення, а залишене розширення зберігає свої мережеві привілеї.

Ця різниця передбачає симптом. Встановлено, але ніколи не з'єднується — зазвичай означає, що розширення ніде не схвалене; з'єднується, але налаштування відкочуються на наступній зміні — зазвичай означає, що визначенням володіє політика керування.

Підпис і видавець визначають відповідь

Перш ніж схвалювати, прочитайте, хто підписав річ, а не те, що підказує значок у діалозі. Двох локальних перевірок достатньо, щоб побачити орган підпису і те, чи проходить оцінка системи на цій машині.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Пакет без підпису або без нотаріального засвідчення не є автоматично зловмисним, але він заслуговує на інше рішення, ніж підписаний пакет від видавця, якого ви мали на увазі. Пакет, що надійшов через повідомлення, а не з власного сайту видавця, — це випадок, коли відповідь просто «ні».

Порівнюйте ідентифікатор команди з опублікованою особою видавця, а не довіряйте відображуваному імені застосунку, бо імена легко повторно використати, а ідентифікатори — ні. Якщо видавець публікує ідентифікатор у своєму посібнику зі встановлення, ця сторінка є довідкою для порівняння і місцем, де слід повідомити про розбіжність. Клієнт від перепродавця, перепакована збірка чи портативна копія з форуму заслуговує на більшу підозру, ніж підписане завантаження того самого видавця.

Коли рішення належить політиці

На корпоративному Mac адміністратор, можливо, вже вирішив. Профіль керування може доставити визначення VPN, заздалегідь схвалити розширення й заблокувати з'єднання так, що його не можна видалити. У такому порядку прохання ввести пароль часто є проханням скасувати рішення, яке ніколи не було вашим.

Зниження безпеки завантаження або від'єднання керування, щоб силоміць встановити програму, назавжди змінює модель загроз машини заради тимчасової проблеми. Такий обмін рідко роблять усвідомлено; зазвичай це трапляється, коли ви йдете за дописом на форумі. Натомість попросіть в адміністратора підтримуваний шлях, який може бути таким простим, як повторно надіслати профіль або схвалити розширення на боці сервера. Якщо адміністратор не може його схвалити, ця відповідь і є висновком, а не перешкодою, яку треба обійти.

Підтвердьте стан після схвалення

Коли авторизоване схвалення надано, перевірте, що думає система, а не те, що заявляє клієнт. Список розширень повідомляє стан активації без жодного стороннього інструмента.

systemextensionsctl list

Запис, показаний як активований, належить ідентифікатору команди, який ви перевірили раніше; запис, показаний як завершений з очікуванням схвалення користувача, пояснює клієнт, який запускається і ніколи не передає трафік. Якщо запит повертається після кожної спроби, зафіксуйте точне повідомлення й версію клієнта, бо повторюване схвалення зазвичай означає, що розширення замінюють, не деактивувавши попереднє, і це випадок для підтримки, а не проблема з паролем. Запишіть версію перед дзвінком у підтримку, бо виправлення може вже існувати в новішій збірці і розмова почнеться звідти.