Mac VPN On Demand: một khớp SSID thực sự chứng minh điều gì?
Một khớp SSID là điều kiện của luật, không phải bằng chứng của tin cậy. Hãy dựng luật On Demand, chọn giá trị mặc định cho mạng không quen và giữ việc chặn riêng ra.
Kết nối VPN ở mọi nơi trừ Wi-Fi của văn phòng nghe như một chính sách hai dòng, và phần khó chưa bao giờ là nhận ra tên mạng. Phần khó là quyết định xem một cái tên khớp được phép chứng minh điều gì. Bất kỳ điểm truy cập nào cũng có thể phát một SSID quen thuộc, và một ping thành công tới một địa chỉ chỉ chứng minh rằng một lần dò đã nhận được trả lời. Không quan sát nào trong hai điều đó xác lập rằng chiếc Mac đang ở trên một mạng nội bộ đã xác thực.
Tên không phải danh tính
SSID là một nhãn mà một bộ phát vô tuyến truyền đi. Nó không phải khóa, chứng chỉ hay lời tuyên bố về việc ai sở hữu phần cứng, và một địa điểm sự kiện hay văn phòng bên cạnh có thể phát cùng chuỗi đó mà không cần bất kỳ phối hợp nào. Coi nhãn là chỉ dẫn để tắt bảo vệ sẽ trao quyết định cho người đã cấu hình điểm truy cập gần nhất.
Bài kiểm tra ping thất bại vì một lý do tinh tế hơn: nó trả lời câu hỏi về khả năng tiếp cận, không phải về tư cách thành viên. Một đích phản hồi có thể tiếp cận được từ bất cứ đâu, có thể chỉ tiếp cận được qua đường hầm mà bạn đang cố quyết định, hoặc có thể là một cổng captive trả về thứ gì đó trông như câu trả lời. Khả năng tiếp cận là một sự thật hữu ích và một ranh giới tin cậy tồi.
On Demand đánh giá một tập luật như thế nào
Mô hình On Demand của Apple ghép một hành động với các điều kiện mạng tùy chọn, và các luật được đánh giá theo thứ tự: luật đầu tiên mà mọi điều kiện đều khớp sẽ cung cấp hành động, còn các luật sau không được xét tới. Thứ tự đó chính là chính sách, vì thế một luật được thêm «để chắc chắn» có thể âm thầm viết lại hành vi vốn đang hoạt động.
Điều kiện SSID tham chiếu mạng chính đang kết nối hiện tại, không phải mọi tên nhìn thấy trong một lần quét. Điều đó tạo ra ba trạng thái riêng biệt, và việc gộp chúng thành hai là lỗi cấu hình thường gặp:
| State | What the rule sees | What it must not be taken to mean |
|---|---|---|
| No SSID criterion applied | Nothing to compare | That the network is unknown or unsafe |
| Unknown network | Connected, name does not match | That no rule below applies |
| Recognized network | Primary network matches | That the network is trusted |
Cấu hình nó ở nơi chính sách sống
Một ứng dụng VPN đã được phê duyệt hoặc một quy trình quản lý là nơi luật này thuộc về, và các nhà cung cấp khác nhau phơi ra những tập con khác nhau của các điều khiển sẵn có. Do đó một tùy chọn thiếu trong bảng điều khiển đó nghĩa là ứng dụng chưa phơi ra nó, chứ không phải nền tảng không thể diễn đạt nó.
Kích hoạt tự động cũng cần một cơ chế xác thực có thể hoàn tất mà không cần con người, chẳng hạn chứng chỉ hoặc một phương thức được hỗ trợ khác. Một mã dùng một lần được lưu không phải cơ chế đó, và một luật kích hoạt trong khi xác thực không thể hoàn tất sẽ tạo ra một lần thử kết nối thất bại lặng lẽ ở chế độ nền.
Hai mẫu đáng ghi vào runbook
Mẫu thứ nhất là cái tên bắt chước. Một địa điểm hội nghị, một khách sạn hay một người thuê trong cùng tòa nhà phát chuỗi mà luật của bạn coi là «bên trong», và bảo vệ tắt đúng ở nơi bạn ít muốn nhất. Cái tên không nói dối; luật đã hỏi nó một câu mà nó không thể trả lời.
Mẫu thứ hai là phép dò tự đánh bại mình. Một script ping một địa chỉ riêng, thấy phản hồi qua đường hầm, kết luận rằng nó đã ở trên mạng nội bộ và ngắt kết nối. Sau đó phép dò thất bại, nên script kết nối lại và lặp lại, và đường hầm dao động trong khi từng bước riêng lẻ trông đúng. Một bài kiểm tra có kết quả phụ thuộc vào đường hầm không thể đồng thời quyết định xem đường hầm có nên tồn tại hay không.
Hãy quyết định giá trị mặc định, rồi thực thi nó riêng
Trường hợp mạng không quen và trường hợp có dây cần những câu trả lời rõ ràng thay vì một giá trị mặc định được thừa kế. Nếu lưu lượng được bảo vệ phải tiếp tục bị chặn trong khi hệ thống vẫn đang phân loại mạng hoặc đang dựng đường hầm, điều đó đòi hỏi một điều khiển thực thi được hỗ trợ riêng; một trình kích hoạt On Demand cung cấp hành vi kết nối, không phải bảo đảm chặn.
Được viết đúng, luật của quản trị viên nêu rõ ngoại lệ đã được phê duyệt, bằng chứng biện minh cho nó và sự lùi lại có chủ ý khi thiếu bằng chứng đó. Nhận ra một tên Wi-Fi là đầu vào chính đáng cho quyết định đó. Nó không phải là sự biện minh cho quyết định, và không bao giờ nên là dòng duy nhất trong luật.