macOS'da tizimga kirishdan oldin VPN: qulfni ochish, kirish oynasi, sessiya
FileVault qulfini ochish, kirish oynasi va foydalanuvchi sessiyasi alohida bosqichlardir. Kirish paytida boshlanadigan ish stoli mijozi faqat oxirgi bosqichni hal qiladi.
Mana odamlarga bir haftaga tushadigan ishonch: Mac'da kirishdan oldin deb ataladigan bitta lahza bor va VPN mijoz o'sha paytda boshlanadi yoki yo'q. Aslida mashinada tarmoqqa kirish muhim bo'lgan kamida uch lahza bor va ularni o'sha paytda kimga hisob ma'lumotlarini saqlashga ruxsat berilgani ajratadi. Kirish elementidan ishga tushirilgan mijoz ulardan faqat bittasini qamrab oladi va bu oxirgisi.
Bitta sozlama butun yuklanishni qamrab oladi degan afsona
Mahsulot sahifasini qayta o'qing va funksiya qaysi bosqichni nomlashini ko'ring. Kirishda ishga tushirish deb yozilgan katakcha kirish elementini bildiradi, u foydalanuvchi sessiyasi paydo bo'lgandan keyin ishlaydi. Talab bo'lganda ulanish deb yozilgan katakcha mijoz trafik qoidaga mos kelganda ulanish ochishini bildiradi, bu esa hali ham mijoz va uning hisob ma'lumotlari mavjud bo'lishini talab qiladi.
Ularning hech biri yuklanish jarayoniga yetib bormaydi. Bu yetkazib beruvchi olib tashlashni unutgan cheklov emas; bu operatsion tizim ruxsat beradigan narsa. Hajm qulfi ochilgunga qadar mijozni ishga tushirish uchun ishlab turgan tizim yo'q, chiqqandan keyin esa foydalanuvchining sirlari sessiya bilan ketadi. Ikki alohida devor va hech biri boshqa katakchaga bo'ysunmaydi.
Bosqichlarni ajratsangiz, dastlabki savol shaklini o'zgartiradi. VPN kirishdan oldin boshlanadimi deb so'rash o'rniga, uch aniq lahzadan qaysi biri ishlashi kerakligini so'raysiz va keyin har birining egasi boshqacha ekanini bilib olasiz: shifrlash qatlami, tarmoq kengaytmasi yoki foydalanuvchi sessiyasi.
Har bir bosqichda aslida nima bo'ladi
Yuklanish shifrlangan hajmdan boshlanadi, uni har qanday umumiy ish uchun yaroqli tizim paydo bo'lishidan oldin ochish kerak. Bu ochish cheklangan kontekstda cheklangan hisob ma'lumotlari bilan sodir bo'ladi va Apple shifrlangan ma'lumotlar haqiqiy ochilishsiz yetib bo'lmaydigan bo'lib qolishini aniq hujjatlashtiradi.
Keyin kirish oynasi keladi, u yerda tizim ishlayapti, lekin hali foydalanuvchi sessiyasi yo'q. Foydalanuvchi chiqqan bo'lsa, foydalanuvchi kontekstidagi kengaytma allaqachon tugagan, global tizim kengaytmasi hali ishlayotgan bo'lishi mumkin, lekin ishlash VPN'ingizga kerak bo'lgan hisob ma'lumotlarini saqlash bilan bir xil emas.
Keyin sessiya keladi, u yerda oddiy mijoz kirish kalitlar zanjirini o'qiy oladi, ikkinchi omilni so'raydi va yuborilgan marshrutlarni qo'llaydi. Odamlar kirishdan oldin deb ta'riflaydigan funksiyalarning ko'pchiligi aslida shu bosqich bo'lib, kirishdan oldin emas, sessiya boshida faollashadi.
| Stage | What it can use | What it cannot do |
|---|---|---|
| FileVault unlock | Credentials supplied at the console to unlock the volume | Run an ordinary VPN app or read a user keychain |
| Login window | System context, possibly a joined network | Use a user secret that only exists after login |
| User session | Login keychain, interactive MFA, full client features | Exist before the volume unlocks |
Nima uchun launch daemon yo'q foydalanuvchi uchun kira olmaydi
Yuqori imtiyoz muammoni hal qiladigandek tuyuladi va hal qilmaydi. launch daemon orqasida foydalanuvchi sessiyasi bo'lmagan tizim jarayoni sifatida ishlaydi, shuning uchun ochiladigan kalitlar zanjiri ham, so'rovga javob beradigan odam ham yo'q. U soket ochib, fayl o'qiy oladi; qila olmaydigan narsa hisob ma'lumotlariga ega foydalanuvchi bo'lishdir. Imtiyoz shaxsiyat emas va aynan shu yerda ikkisi chalkashadi.
Odamlar o'sha bo'shliqda quradigan narsa ichida parol bo'lgan skriptdir va bu ular boshlagan muammodan ham yomonroq muammo.
Talabning halol versiyasi torroq. Agar mashina hech kim yo'q paytda himoyalangan resursga yetishi kerak bo'lsa, o'sha resurs qabul qiladigan shaxsiyat odamsiz mashina saqlay oladigan shaxsiyat bo'lishi kerak: qurilma sertifikati, tizim kalitlar zanjiridagi hisob ma'lumoti yoki ikkinchi omili birovning cho'ntagidagi telefonga yuboriladigan bildirishnoma bo'lmagan hisob. Bu shaxsiyatni ataylab loyihalang va bosqich savoli odatda o'ziga o'zi javob beradi.
Windows'ning kirishdan oldingi funksiyasi bu yerga ko'chmaydi
Windows'da ba'zi masofaviy kirish mahsulotlari uchun hujjatlashtirilgan kirishdan oldingi kirish mexanizmi bor va nom imkoniyatdan yaxshiroq sayohat qiladi. Windows tarqatish qo'llanmasida tasvirlangan funksiya o'sha yetkazib beruvchi macOS'da ekvivalentini amalga oshiradimi-yo'qmi haqida hech narsa aytmaydi.
Mac apparat qurilmasi, macOS versiyasi, mijoz versiyasi va siz haqiqatan ishlatadigan autentifikatsiya usulini qamrab oluvchi bayonot so'rang. Umumiy qo'llab-quvvatlash da'vosi yetarli emas, chunki ishlash va ishlamaslik orasidagi farq ko'pincha o'sha to'rttadan birida bo'ladi.
Agar yetkazib beruvchi javob bera olmasa, javob shu. Sessiya bosqichini rejalashtiring va nazoratsiz holat uchun alternativa loyihalang, bo'shliqni joriy etish paytida topish o'rniga.
Buning o'rniga nima so'rash kerak
Talabni bosqichlar tilida yozing. Qaysi resurs, kimga kerak, qanday kontekstda va ulanish hali yo'q paytda qanday maqbul kechikish bilan?
Agar javob kirib, keyin tunnel kerak bo'ladigan foydalanuvchi bo'lsa, talab bo'lganda ulanish va ishga tushish elementi yetarli va arzon. Agar javob kechasi qayta yuklanadigan va hisobot berishi kerak bo'lgan mashina bo'lsa, loyiha qo'llab-quvvatlanadigan diskni ochish yo'li, qurilma shaxsiyati va tarmoq hech qachon ko'tarilmasa ham ishlaydigan tiklash jarayonini talab qiladi. Agar javob tunnelga bog'liq tashkilot kirishi bo'lsa, kirish, shaxsiyat va VPN loyihalari alohida sotib olinmay, birga qurilishi kerak.
Apple'ning FileVault hujjatlari qulfni ochish bosqichi uchun to'g'ri boshlang'ich nuqtadir. Undan keyingi hamma narsa mijoz va shaxsiyat masalasi bo'lib, uni sotib olishdan oldin yetkazib beruvchi bayonoti hal qilishi kerak.