Lời nhắc quản trị của VPN trên Mac: cài đặt, tiện ích mở rộng hay chính sách?

Những hộp thoại yêu cầu mật khẩu của ứng dụng VPN trông như thể thay thế được cho nhau, nhưng không phải vậy. Bốn hành động khác nhau ẩn sau một hộp thoại na ná: ghi tệp vào vị trí được bảo vệ khi cài đặt, thêm hoặc sửa cấu hình mạng, kích hoạt tiện ích mở rộng hệ thống có nhiệm vụ truyền tải lưu lượng, và tuân theo một chính sách mà máy chủ quản lý đã đặt sẵn. Mỗi hành động có chủ sở hữu riêng, phạm vi ảnh hưởng riêng và cách xác minh riêng. Việc khớp thông báo bạn thấy với một trong bốn trường hợp đó chính là toàn bộ bài tập.

Ba kiểu phê duyệt khác nhau trông giống hệt nhau

Phê duyệt của trình cài đặt là trường hợp đơn giản nhất: gói cài đặt ghi vào những thư mục mà người dùng thường không được sửa, và macOS đòi thông tin đăng nhập quản trị để cho phép. Ở đây hệ thống không xét phần mềm có an toàn hay không; nó xét bạn có được ghi vào đó hay không. Đó cũng là lý do một gói cài đặt có thể cài sạch sẽ mà vẫn vô dụng: phê duyệt cài đặt không nói gì về việc mã đó có được phép chạy về sau hay không. Sau khi cài xong, ứng dụng vẫn có thể cần lần phê duyệt thứ hai trước khi tác động được tới mạng.

Phê duyệt cấu hình mạng bao trùm các thay đổi đối với danh sách kết nối của hệ thống. Thêm một dịch vụ VPN, hoặc sửa những cài đặt mà quản trị viên mạng đã định, đều cần quyền nâng cao vì các định nghĩa đó ảnh hưởng đến mọi tài khoản trên máy. Phê duyệt này trao quyền cấu hình, không phải quyền truyền tải.

Phê duyệt tiện ích mở rộng mới là thứ quyết định các gói tin đi đường nào. Một ứng dụng hiện đại cài tiện ích mở rộng hệ thống để macOS nạp vào hệ thống, và macOS yêu cầu một quyết định rõ ràng trong Quyền riêng tư và Bảo mật hoặc Mục đăng nhập và Tiện ích mở rộng trước khi kích hoạt nó. Trường hợp thứ tư là một máy Mac được quản lý, nơi chính sách đã phê duyệt trước tiện ích mở rộng và người dùng không thấy hộp thoại nào cả.

Mỗi kiểu phê duyệt thực sự thay đổi điều gì

Trình cài đặt thay đổi tệp trên đĩa, và hậu quả của nó chấm dứt khi các tệp bị xóa, ngoại trừ phần còn sót lại. Cấu hình mạng thêm một định nghĩa dịch vụ xuất hiện trong danh sách kết nối và có thể bị kích hoạt lại bởi các quy tắc theo nhu cầu. Phê duyệt tiện ích mở rộng thay đổi thứ mã mà hệ thống sẽ nạp và giữ chạy, đó là lý do nó sống sót qua việc gỡ ứng dụng hiển thị trong một số quy trình. Gỡ gói ứng dụng không phải lúc nào cũng gỡ tiện ích mở rộng của nó, và một tiện ích mở rộng bị bỏ lại vẫn giữ các quyền mạng của mình.

Sự khác biệt này dự đoán được triệu chứng. Đã cài nhưng không bao giờ kết nối thường có nghĩa tiện ích mở rộng không được phê duyệt ở đâu cả; kết nối được nhưng cài đặt cứ trở về như cũ ở lần thay đổi kế tiếp thường có nghĩa định nghĩa đó thuộc về một chính sách quản lý.

Chữ ký và nhà phát hành quyết định câu trả lời

Trước khi phê duyệt, hãy đọc xem ai đã ký thứ đó thay vì tin vào biểu tượng trong hộp thoại gợi ý. Hai kiểm tra cục bộ là đủ để thấy cơ quan ký và liệu đánh giá của hệ thống có đạt trên máy này hay không.

codesign -dv --verbose=2 /Applications/ExampleVPN.app
spctl -a -vv /Applications/ExampleVPN.app

Một gói chưa ký hoặc chưa công chứng không tự động là độc hại, nhưng nó xứng đáng nhận một quyết định khác với bản đã ký từ đúng nhà phát hành bạn định dùng. Một gói đến qua tin nhắn thay vì từ chính trang của nhà phát hành là trường hợp câu trả lời đơn giản là không.

Hãy so mã định danh nhóm với danh tính công bố của nhà phát hành thay vì tin vào tên hiển thị của ứng dụng, vì tên thì dễ dùng lại còn mã định danh thì không. Nếu nhà phát hành công bố mã đó trong hướng dẫn cài đặt, trang ấy là căn cứ để so sánh và cũng là nơi nên báo cáo khi có sai lệch. Một ứng dụng từ nhà bán lại, bản đóng gói lại hay bản sao di động từ diễn đàn đáng bị nghi ngờ hơn bản tải đã ký của chính nhà phát hành đó.

Khi chính sách nắm quyền quyết định

Trên một máy Mac của công ty, quản trị viên có thể đã quyết định sẵn. Một hồ sơ quản lý có thể phân phối định nghĩa VPN, phê duyệt trước tiện ích mở rộng và khóa kết nối đến mức không thể gỡ. Trong cách sắp xếp đó, yêu cầu nhập mật khẩu thường là yêu cầu ghi đè một quyết định vốn không phải của bạn.

Hạ mức bảo mật khởi động hoặc gỡ bỏ quản lý để ép buộc một lần cài đặt sẽ thay đổi vĩnh viễn mô hình mối đe dọa của máy chỉ để giải quyết một vấn đề tạm thời. Sự đánh đổi đó hiếm khi được thực hiện có ý thức; nó thường xảy ra khi đang làm theo một bài đăng trên diễn đàn. Thay vào đó, hãy hỏi quản trị viên con đường được hỗ trợ, mà có thể chỉ đơn giản là gửi lại hồ sơ hoặc phê duyệt tiện ích mở rộng ở phía máy chủ. Nếu quản trị viên không thể phê duyệt, câu trả lời đó chính là phát hiện, chứ không phải chướng ngại cần lách qua.

Xác nhận trạng thái sau khi phê duyệt

Khi một phê duyệt hợp lệ đã được đưa ra, hãy kiểm chứng điều hệ thống nghĩ thay vì điều ứng dụng tuyên bố. Danh sách tiện ích mở rộng báo cáo trạng thái kích hoạt mà không cần bất kỳ công cụ bên thứ ba nào.

systemextensionsctl list

Một mục hiển thị là đã kích hoạt thuộc về mã định danh nhóm mà bạn đã kiểm tra trước đó; một mục hiển thị là đã chấm dứt, đang chờ người dùng phê duyệt, giải thích cho một ứng dụng khởi động mà không bao giờ truyền tải lưu lượng. Nếu hộp thoại quay lại sau mỗi lần thử, hãy ghi lại thông báo chính xác và phiên bản ứng dụng, vì một phê duyệt lặp lại thường có nghĩa tiện ích mở rộng đang bị thay thế mà bản cũ chưa được ngừng kích hoạt, và đó là ca hỗ trợ chứ không phải vấn đề mật khẩu. Hãy ghi lại phiên bản trước khi gọi hỗ trợ, vì bản sửa có thể đã có trong một bản dựng mới hơn và cuộc trao đổi sẽ bắt đầu từ đó.