שיעור 09: רשתות¶

חלק ב': מדריך העברה למרצה

הערה למדריך: מסמך זה משמש כ"מערך השיעור" (Lesson Plan) וכולל את התסריט להעברת החומר מול הכיתה, תרחישי הדגמה, ומידע טכני מורחב שיעזור לך להתמודד עם שאלות קשות. שמור על טון שיחתי (Conversational), נגיש ומעשי, כפי שהוגדר בפרוטוקול הקורס. ההדגמות במערך זה מבוססות על ממשק המשתמש הגרפי (GUI), כדי להעניק לתומכים כלים ויזואליים ונגישים לפתרון תקלות, בעוד פקודות ה-Terminal שמורות להעמקה מאחורי הקלעים.

1. ממשקים וסדרי עדיפויות: ניהול מיקומי רשת (Network Locations) ו-Service Order¶

פסקת כיוון למרצה: המטרה כאן היא לנפץ את התפיסה שרשת מנוהלת תמיד באוטומט. הסטודנטים חייבים להבין שמק יכול להיות מחובר למספר רשתות במקביל (גם כבל וגם Wi-Fi), ולכן חשוב להראות להם איך מערכת ההפעלה מקבלת החלטה לאן לנתב את המידע. זה המקום לשאול את הכיתה: "מה קורה כשיש לכם גם Wi-Fi חזק וגם כבל רשת מחובר? מי ינצח?". המחישו להם את ה-Service Order ככלי עבודה קריטי לפתרון תקלות בסביבות משולבות.

תסריט שיחה (Discussion - Script):

"ברוכים הבאים לשיעור הרשתות."
כשאנחנו עם מחשב נייד, הוא מסתובב בין הבית, המשרד ובית הקפה.
איך המק מחליט באיזה ממשק רשת להשתמש?
דמיינו תרחיש:
המק מחובר ל-Wi-Fi.
במקביל, הוא מחובר לכבל רשת (Ethernet) דרך מסך חיצוני.
שניהם פעילים בו-זמנית.
דרך מי האינטרנט זורם? מי מנצח?
כאן נכנס לתמונה ה-Service Order (סדר עדיפויות).
המערכת מחפשת את החיבור הזמין הראשון ברשימה.
היא מנתבת אליו את כל התעבורה.
Network Locations (מיקומי רשת):
אלו פרופילים המכילים הגדרות נפרדות לחלוטין (כמו DNS או IP קבוע).
הם מאפשרים "לקפוץ" בקלות בין תצורת 'בית' ל'משרד'.
ב-System Settings החדש זה קצת מוסתר, אך עדיין קיים.
זהו כלי קריטי לפתרון התנגשויות רשת (למשל, שרת DNS ארגוני שתוקע את הרשת הביתית).

🖼️ הפניה ויזואלית: הראה לתלמידים את תמונת 26-Tahoe-Settings-Network-scaled.png מחוברת העזר כדי להמחיש היכן נמצא ה-Service Order בממשק החדש.

הדגמה מעשית (Demonstration):

פתח את System Settings ונווט אל תפריט ה-Network.
הראה לכיתה את רשימת הממשקים בצד הימני.
לחץ על כפתור התפריט ... (עוד פעולות) בתחתית הרשימה, ובחר ב-Set Service Order.
תרגל מתן עדיפות:
גרור את ממשק ה-Wi-Fi מתחת לממשק ה-Ethernet.
הדגם את הפעולה הפיזית של מתן עדיפות לכבל רשת.
חזור לתפריט ה-..., ובחר הפעם ב-Locations ולאחר מכן Edit Locations.
הוסף מיקום חדש:
קרא לו "Office" או "Home".
הסבר ששינוי הגדרות (למשל DNS) במיקום החדש לא ישפיע על פרופיל ברירת המחדל (Automatic).

Instructor Deep-Dive:

לחץ להרחבה טכנית למדריך: מאחורי הקלעים של סדרי העדיפויות וניתוב התעבורה

ניתוב התעבורה (Routing Table):
ה-Service Order בממשק הגרפי משפיע ישירות על טבלת הניתוב של הקרנל.
הממשק העליון התקין מקבל את ה-Default Gateway של המערכת.
ניתן לראות זאת דרך הטרמינל עם הפקודה netstat -rn.
שאר הממשקים אינם מתנתקים, אלא משמשים לחיבור לרשתות מקומיות אחרות (Local Subnets).
פרופיל Automatic:
המיקום הראשון נקרא תמיד "Automatic".
אוסף ההגדרות מנוהל על ידי ה-SystemConfiguration Framework.
נתיב הקובץ: /Library/Preferences/SystemConfiguration/preferences.plist.
טריק שימושי לאיפוס הגדרות רשת שהושחתו:
- מחיקת הקבצים בתיקייה זו.
- אתחול המק (ייצר מחדש את פרופיל ה-Automatic).

2. כלי אבחון: ניטור קישוריות עם Activity Monitor ו-Wireless Diagnostics¶

פסקת כיוון למרצה: חשוב לנתק את התומכים מההרגל האוטומטי לקפוץ לטרמינל. הראו להם שהכלים הגרפיים המובנים במק מציעים אבחון הרבה יותר מהיר ועשיר להקשרי אינטרנט עכשוויים. Activity Monitor (שהכרנו בשיעור 05 ל-Force Quit ובשיעור 08 לניהול זיכרון) נחשף פה בזווית שלישית: איתור זללני רשת. הדגישו את כלי ה-Option-Click ככלי חובה לכל טכנאי מק.

תסריט שיחה (Discussion - Script):

"משתמש מתקשר ואומר 'אין לי אינטרנט' או שה-Wi-Fi מקרטע."
איך בודקים מאיפה נובעת הבעיה?
בעבר, הנטייה הייתה לקפוץ ל-Terminal.
ב-macOS של היום יש כלים גרפיים מדהימים לקבלת תמונת מצב מדויקת תוך 3 שניות:
הקליק הקדוש של טכנאי המק (Option + Click):
החזיקו את מקש ה-Option (⌥) ולחצו על אייקון ה-Wi-Fi בשורת התפריטים.
המידע שנחשף מיידית:
- BSSID: כתובת ה-MAC של הראוטר (מגלה אם נדבקתם לראוטר רחוק).
- Channel: ערוץ, תדר ורוחב פס.
- RSSI: עוצמת האות (למשל 45- dBm מעולה, 75- dBm גרוע).
- Noise: רעשי רקע (90- dBm מצוין).
- Tx Rate: קצב השידור המקסימלי מול הראוטר.
אפליקציית ה-Wireless Diagnostics הסודית:
כולם חושבים שזה רק אשף פשוט של Next-Next.
הסוד האמיתי של טכנאים: תפריט Window בחלק העליון!
מכיל את ה-Power Tools:
1. Scan (Cmd+4): סורק את כל הרשתות סביבכם וממליץ בסרגל הצד על הערוצים הפנויים ביותר (Best Channels).
2. Performance (Cmd+5): גרף רציף בזמן אמת של איכות האות, הרעש והקצב — הכלי המושלם לטיול במשרד ואיתור שטחים מתים!
3. Sniffer (Cmd+6): לכידת פקטות אלחוטיות ישירות לקובץ .pcap לניתוח ב-Wireshark.

🖼️ הפניה ויזואלית: הראה לתלמידים את התמונות Slide131_image45.jpg (Wireless Diagnostics) המציגות את המסכים הנסתרים.

הדגמה מעשית (Demonstration):

פתח את Activity Monitor ונווט ללשונית Network (הראה תהליכים שזוללים רוחב פס).
החזק את מקש ה-Option (⌥) ולחץ על אייקון ה-Wi-Fi בשורת התפריטים:
הקרא לכיתה את ה-RSSI, ה-Noise וה-Tx Rate.
הסבר את חישוב ה-SNR (Signal - Noise).
לחץ על Open Wireless Diagnostics....
התעלם מהאשף המרכזי וגש לתפריט Window:
לחץ על Scan (Cmd + 4) -> הצג לכיתה את רשימת כל הרשתות סביבכם ואת המלצות ה-Best Channels בסרגל השמאלי.
לחץ על Performance (Cmd + 5) -> הצג את הגרף החי המתעדכן בזמן אמת. הזז מעט את המחשב והראה איך הגרף מגיב.
הצג את חלון ה-Info (Cmd + 1) וחלון ה-Sniffer (Cmd + 6).

Instructor Deep-Dive:

לחץ להרחבה טכנית למדריך: ניתוח מדדי RF ופקודות רשת ב-CLI

מדדי RF קריטיים בכיתה:
RSSI: סקאלה שלילית (30- dBm מצוין, 67- dBm סף מומלץ לארגון/VoIP, 80- dBm ומטה מנותק).
Noise: 90- dBm ומטה נקי; 75- dBm ומעלה הפרעה קשה (Bluetooth, מיקרוגל, כבלי USB 3.0 לא מסוככים).
תופעת Sticky Client: מק שמסרב לנדוד מ-AP חלש בגלל סף נדידה (-75 dBm).
אבחון תקשורת וניתוב ב-CLI:
איפוס DNS מהיר: sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder.
פקודת networksetup -getinfo "Wi-Fi" לשליפת פרטי ממשק מלאים.

3. חומת האש: ה-Firewall המובנה של macOS והדילמה הארגונית¶

פסקת כיוון למרצה: חומת האש במק עובדת ברמת האפליקציה (Application Layer - ALF) ולא ברמת הפורטים. חשוב להסביר להם את המנגנון, ומעל הכל את הדילמה הארגונית המתקדמת: מדוע בארגוני Enterprise שמריצים כלי EDR/SASE (כמו Defender, CrowdStrike, Zscaler) ההמלצה הרשמית של היצרניות היא לנטרל את ה-Firewall המובנה כדי למנוע התנגשויות ברמת ה-Network Extension Framework.

תסריט שיחה (Discussion - Script):

"בואו נדבר על חומת האש המובנית של המק (ALF)."
איך היא עובדת?
פועלת בשכבה 7 (Application Layer) תחת התהליך socketfilterfw.
היא לא שואלת "האם לפתוח פורט?", אלא האם אפליקציה מסוימת מורשית לקבל חיבורים נכנסים.
אפליקציות חתומות כדין על ידי אפל מאושרות אוטומטית.
המגבלה הקריטית:
ה-ALF מגן על חיבורים נכנסים בלבד (Inbound).
הוא לא מנטר ולא חוסם תעבורה זדונית שיוצאת החוצה (Outbound).
הדילמה הארגונית (Enterprise Reality Check):
מה עושים בארגוני Enterprise גדולים?
אם הארגון מתקין סוכן אבטחה מקצועי (CrowdStrike, Microsoft Defender, Zscaler, Palo Alto GlobalProtect):
ההמלצה הרשמית של היצרניות היא לנטרל את ה-ALF המובנה של אפל דרך ה-MDM!
למה?
1. מניעת התנגשויות (Stack Contention): שני הסינונים יושבים על אותם Sockets ב-Network Extension, מה שגורם לבדיקה כפולה, איבודי פקטות וניתוקי VPN.
2. Single Source of Truth: ה-ALF לא מדווח ל-SIEM (Splunk/Sentinel), וה-SOC רוצה סוכן אחד שמנהל ומדווח על 100% מהתעבורה.
ובארגונים קטנים ללא EDR? משאירים את ה-ALF דולק עם Stealth Mode כהגנה מקומית.

הדגמה מעשית (Demonstration):

נווט ב-System Settings אל Network ואז ל-Firewall.
הפעל את ה-Firewall ולחץ על כפתור ה-Options.
הצג את רשימת האפליקציות המאושרות.
הסבר את משמעות Block all incoming connections (חסימה הרמטית שמשביתה גם AirDrop ו-File Sharing).
הסבר על Stealth Mode — הראו שהמק מפסיק לענות לבקשות Ping (חוק ה-Ping השקט).

Instructor Deep-Dive:

לחץ להרחבה טכנית למדריך: ALF מול Network Extensions, ו-Stealth Mode

התנגשויות Network Extension Framework:
מאז ביטול ה-KEXTs, סוכני EDR משתמשים ב-NEFilterDataProvider.
הפעלת ALF במקביל לסוכן EDR גורמת ל-Race Conditions בסגירת Sockets ולתקלות ב-Captive Portals (מלונות/שדות תעופה).
חוק ה-Ping השקט:
אם ping למק ברשת נכשל — אל תניחו שהמחשב מנותק. ב-99% מהמקרים Stealth Mode מופעל דרך ה-MDM. בדיקה נכונה נעשית עם שאילתת Bonjour (dns-sd -B) או בדיקת פורט ישירה.
אפליקציה חתומה שאושרה מראש (Notarization של אפל) לרוב תקבל גישה אוטומטית.
זה תלוי בהגדרה "Automatically allow built-in software to receive incoming connections".
Stealth Mode:
אפשרות נוספת בתוך אופציות ה-Firewall.
כשהוא מופעל, המק מתעלם מבקשות ICMP (כמו פקודות Ping נכנסות).
המק לא עונה ליציאות סגורות, והופך "בלתי נראה" בפני סורקי רשת (Network Scanners) ברשתות ציבוריות.

← ה-socketfilterfw שמנהל את ה-ALF רץ כ-Daemon תחת launchd — נלמד בשיעור 08 (Terminal). ניתן לעקוב אחריו ב-Console כמו כל Daemon אחר.

4. תיבול ארגוני: אבחון פרופילי Wi-Fi מסוג 802.1X ארגוני וחיבורי VPN פרוקסי פרוסים מרחוק¶

פסקת כיוון למרצה: זהו החלק ה"ארגוני" של השיעור שבו אנחנו מחברים את תפיסת ה-MDM לרשת. הסבירו לתלמידים שהרשת שהם עבדו איתה עד כה היא לרוב לא הרשת שיראו בארגון המוגן ב-802.1X וב-Proxies ארגוניים. הדגישו את הקשר בין תקלות התחברות (למשל אחרי איפוס סיסמה) לבין הסיסמאות התקועות ב-Keychain Access, שכן זהו כלי המפתח המרכזי לתקלות מסוג זה.

תסריט שיחה (Discussion - Script):

"בסביבה ארגונית, משתמשים לא מתחברים ל-Wi-Fi עם סיסמה פשוטה."
הרשת משתמשת בפרוטוקול 802.1X (WPA-Enterprise).
זה דורש תעודת אימות (Certificate) או שם משתמש וסיסמת ספריה.
לרוב, ה-MDM דוחף Configuration Profile (פרופיל תצורה) וזה עובד בצורה שקופה.
מתי מתחילות הבעיות?
המשתמש מחליף סיסמת Active Directory.
המערכת ממשיכה לנסות את הסיסמה הישנה שנשמרה ב-Keychain.
החיבור נכשל, וכאן אנחנו נכנסים לתמונה.
הגדרות נוספות בסביבה ארגונית:
ה-MDM עשוי לדחוף שרת Proxy קבוע.
יכול להיות חיבור VPN כפוי שאי אפשר לכבות.
אם המשתמש מגיע למלון שדורש אישור גלישה (Captive Portal), החיבור נתקע.
התפקיד שלנו כתומכים:
לאתר את הפרופילים האלו.
לבדוק את הגדרות ה-Proxy ב-System Settings.
לדעת מתי לנקות תעודות מיושנות ב-Keychain.

← הפיילודים לניהול VPN, Proxy ו-802.1X נפרסים מה-MDM — בסיס ניהול הפרופילים ואבטחה נלמד בשיעור 04 (MDM ואבטחה). ← תעודות (Certificates) הנדרשות ל-802.1X נלמדו לעומק בשיעור 04 — MDM דוחף אותן אוטומטית למק של העובד, ללא צורך שהמשתמש יתקין כלום.

הדגמה מעשית (Demonstration):

הדגמת אבחון אלחוטי מתקדם (Wireless Diagnostics ב-GUI המקומי):
בצעו Option + Click על סמל ה-Wi-Fi בשורת התפריטים (Menu Bar) והציגו את נתוני ה-BSSID, RSSI, ו-Noise בזמן אמת.
בחרו ב-Open Wireless Diagnostics, ובסרגל העליון פתחו Window > Scan כדי להראות ניתוח ערוצים, עומסי רשת ורוחב פס של נקודות גישה סביבתיות.
חקירת הגדרות רשת ו-Proxies ב-GUI:
פתחו System Settings -> Network -> Wi-Fi -> Details -> לשונית Proxies.
הסבירו כיצד בסביבה ארגונית שדות אלו ננעלים באפור ונאכפים ע"י פרופיל MDM.
המלצה פדגוגית למרצה (עזרים ויזואליים):
מאחר ומחשב ההדרכה אינו מנוהל ב-MDM, הציגו מתוך העזרים הוויזואליים של השיעור את צילום המסך של פרופיל 802.1X ארגוני (הכולל תעודת זהות דיגיטלית של המכשיר ושיוך ל-RADIUS) לצד ההסבר התיאורטי.

Instructor Deep-Dive:

לחץ להרחבה טכנית למדריך: חיבורי VPN מודרניים ודיבוג 802.1X בלוגים

חיבורי VPN ותצורת ZTNA:
חיבורים מתקדמים (כמו GlobalProtect או Cisco) עברו ל-System Extensions.
הם מבוססים על Network Extension framework (במקום IPSec ישן).
ה-MDM מתקין Payload מסוג VPN/App-Proxy.
לרוב, תצורה זו חוסמת מהמשתמש את היכולת להתנתק ידנית מהממשק.
דיבוג 802.1X דרך ה-Terminal:
אם החיבור נכשל ללא הסבר ברור, אפשר לעקוב אחרי הלוגים.
פקודה למעקב אחר לחיצת היד (Handshake) מול שרת ה-RADIUS: log show --predicate 'subsystem == "com.apple.eapol"' --info
הקשר בין Keychain לפרופילי תצורה:
אמנם הדגמנו מחיקת סיסמה ידנית, אך חשוב להיזהר.
אם התעודות הגיעו ישירות מתוך הפרופיל (Payload), הן לרוב מוגנות ממחיקה.
הפעולה הנכונה בארגון היא להסיר את הפרופיל במלואו מה-MDM ולדחוף אותו מחדש.

בקרת איכות Glossary: בוצע שימוש במונחים המדויקים, כגון: Service Order, Network Location, Payload (פיילוד), Configuration Profile (פרופיל תצורה), Application Layer Firewall.

דלג לאותו שלב בשיעור הבא ⬅️