Standaard Mac-gebruiker met 'n bestuurde VPN: wat IT moet besit

Standaard macOS-rekeninge kan heeldag 'n korporatiewe VPN laat loop terwyl IT elke bevoorregte bewerking behou. Om daar uit te kom is 'n leweringsbesluit, nie 'n argument oor regte nie: kies wie die kliënt installeer, wie die verbinding skep, en wat die gebruiker mag verander. Drie roetes dek feitlik elke geval, en hulle faal op verskillende maniere. Kies die roete op grond van toestelbesit en geloofsbrief-tipe, en toets dit dan as die standaardgebruiker eerder as as jouself.

Drie leweringsroetes en wat elkeen beslis

Roete een is 'n bestuurde konfigurasieprofiel wat deur die organisasie se toestelbestuur gelewer word. Die VPN-lading dra die poort, die verifikasiemetode, roetes en DNS, en dit installeer deur die toestel- of gebruikerkanaal, afhangend van hoe die Mac ingeskryf is. Roete twee is 'n selfdiens-installeerder: die gebruiker loop 'n goedgekeurde pakket wat die kliënt plaas en die verbinding vir hom skryf. Dit werk wanneer bestuursinskrywing ontbreek maar die organisasie steeds 'n herhaalbaar, hersienbare konfigurasie wil hê. Roete drie is dat die gebruiker die verbinding met die hand in Stelselinstellings skep, volgens gepubliseerde waardes. Dit is die goedkoopste om te begin en die duurste om te ondersteun, want elke fout aan die kliëntkant word 'n oproep na die ondersteuningsdesk en elke verandering word 'n memo.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Lees die eerste lys om te sien watter verbindings bestaan en wie hulle besit, en die ander twee om te sien wat as beleid geïnstalleer is. 'n Profiel wat in nie een van die lyste verskyn nie, het nie aangekom nie, maak nie saak wat aan die gebruiker gesê is nie.

Besluit op grond van toestelbesit, nie op grond van senioriteit nie

'n Mac wat deur die organisasie besit word, regverdig gewoonlik roete een, want dieselfde kanaal wat die VPN lewer, kan dit verwyder, en die gebruiker kan die verbinding nie stilletjies wysig nie. Kies die toestelkanaal wanneer die tonnel moet bestaan voordat enige gebruiker aanmeld, en die gebruikerkanaal wanneer die verbinding aan die persoon behoort. 'n Persoonlik besit Mac met 'n korporatiewe diens wys gewoonlik na roete twee. Die organisasie kan nie die toestel bestuur nie, so die installeerder moet klein, omkeerbaar en goed genoeg gedokumenteer wees dat die gebruiker dit kan ongedaan maak.

Roete drie bly redelik vir 'n handjievol tegniese gebruikers met 'n stabiele opstelling, en vir enigiemand wat 'n poort toets voordat dit uitgerol word. Onder daardie skaal word dit 'n ongeouditeerde stel met die hand getikte instellings wat niemand kan inventariseer nie.

Skei die profiel van die rekening

'n Plaaslike verbindingsprofiel sê hoe om die poort te bereik. 'n Rekening wat by die poort gemagtig is, sê of die oproeper mag inkom. Hulle word deur verskillende mense voorsien en om verskillende redes herroep, so moet die profiel nooit as die magtiging behandel nie. Sertifikate sit tussenin. 'n Sertifikaat wat saam met die profiel gelewer word, verifieer die toestel of die gebruiker, en as dit by die poort herroep word, eindig toegang selfs al bly die profiel op die skyf. 'n Ontwerp wat net op 'n wagwoord staatmaak, leun eerder op die lewensiklus van die rekening, en daarom moet die oorhandigingsnota sê watter van die twee in werking is.

Besluit ook of die kliënt 'n stelsel-VPN of 'n tonnel per toepassing is. 'n Ontwerp per toepassing stuur net gekose toepassings, en dit hang daarvan af of die kliënt daardie model op die gebruikte macOS-weergawe ondersteun, so verifieer dit op 'n proeftoestel eerder as om aan te neem die instelling reis saam.

Dra oor sonder 'n administrateurwagwoord

Die gebruiker moet die verbinding begin, aanmeld en herstel na 'n wagwoordverandering. Nie een daarvan vereis 'n administrateurrekening nie, en nie een regverdig dit om geloofsbriewe in 'n script, 'n Automator-aksie of die na-installasie van 'n ondertekende pakket in te bed nie.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Die eerste twee opdragte is die gebruikervlak-bewerkings wat 'n ondersteuningsdesk iemand kan deurpraat. Die derde lees onlangse tonnelaktiwiteit wanneer 'n verbinding misluk, en dit is die artefak om aan te vra eerder as 'n skermkiekie van 'n foutdialoog.

As 'n stap steeds administrateurgoedkeuring vereis, is dit 'n leweringsdefek: stuur die presiese opdrag terug na die profieleienaar eerder as om 'n rekening uit te deel met meer gesag as wat die taak nodig het.

Meld aan as die standaardgebruiker en skryf dan die uitgang

Meld aan met die standaardrekening, verbind, bereik die beoogde interne gasheer, laat die Mac slaap, wek dit en bevestig herverbinding. Herhaal dit na 'n wagwoordverandering, want dit is waar die helfte van hierdie ontplooiings werklik misluk. Skryf die herstelpad neer voordat die eerste gebruiker dit nodig het: wat om te doen wanneer die profiel ontbreek, wanneer die sertifikaat verval het, en wanneer die poort 'n andersins geldige aanmelding verwerp. Hou daardie drie antwoorde waar die ondersteuningsdesk dit kan vind.

Beplan laastens die verwydering. 'n VPN wat nie in een bewerking van 'n vertrekkende gebruiker se Mac verwyder kan word nie, is 'n bevinding in 'n toegangsoudit wat op die punt staan om te gebeur.