مستخدم Mac قياسي مع شبكة VPN مُدارة: ما الذي يجب أن يتولاه قسم تقنية المعلومات

يمكن لحسابات macOS القياسية تشغيل شبكة VPN للشركة طوال اليوم بينما يحتفظ قسم تقنية المعلومات بكل عملية تتطلب صلاحيات مميزة. الوصول إلى ذلك قرار تسليم لا جدال حول الصلاحيات: اختر من يثبّت العميل، ومن يكتب الاتصال، وما يُسمح للمستخدم بتغييره. ثلاثة مسارات تغطي كل الحالات تقريبًا، وكل منها يفشل بطريقة مختلفة. اختر المسار بحسب ملكية الجهاز ونوع بيانات الاعتماد، ثم اختبره بحساب المستخدم القياسي لا بحسابك.

ثلاثة مسارات للتسليم وما يحسمه كل منها

المسار الأول ملف تعريف تكوين مُدار يسلّمه نظام إدارة أجهزة المؤسسة. تحمل حزمة VPN البوابة وطريقة المصادقة والمسارات ونظام أسماء النطاقات، وتُثبّت عبر قناة الجهاز أو قناة المستخدم بحسب طريقة تسجيل Mac. المسار الثاني مثبّت ذاتي: يشغّل المستخدم حزمة معتمدة تضع العميل وتكتب الاتصال نيابة عنه. هذا يعمل حين لا يوجد تسجيل إداري لكن المؤسسة ما زالت تريد تكوينًا قابلًا للتكرار والمراجعة. المسار الثالث أن ينشئ المستخدم الاتصال يدويًا في إعدادات النظام، باتباع قيم منشورة. هو الأرخص بدءًا والأغلى دعمًا، لأن كل خطأ في جانب العميل يصبح مكالمة إلى مكتب الدعم وكل تغيير يصبح مذكرة.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

اقرأ القائمة الأولى لترى أي الاتصالات موجودة ومن يملكها، واقرأ الأخريين لترى ما ثُبّت كسياسة. ملف تعريف لا يظهر في أي من القائمتين لم يصل، مهما قيل للمستخدم.

احسم بحسب ملكية الجهاز لا بحسب الأقدمية

جهاز Mac مملوك للمؤسسة يبرر عادة المسار الأول، لأن القناة نفسها التي تسلّم VPN تستطيع إزالته، ولأن المستخدم لا يستطيع تعديل الاتصال بهدوء. اختر قناة الجهاز حين يجب أن يوجد النفق قبل تسجيل دخول أي مستخدم، وقناة المستخدم حين يكون الاتصال ملكًا للشخص. جهاز Mac مملوك شخصيًا مع خدمة مؤسسية يشير عادة إلى المسار الثاني. لا تستطيع المؤسسة إدارة الجهاز، لذا يجب أن يكون المثبّت صغيرًا وقابلًا للعكس وموثقًا بما يكفي ليستطيع المستخدم التراجع عنه.

يبقى المسار الثالث معقولًا لعدد قليل من المستخدمين التقنيين ذوي الإعداد المستقر، ولمن يختبر بوابة قبل تعميمها. تحت هذا الحجم يصبح مجموعة غير مدققة من الإعدادات المكتوبة يدويًا لا يستطيع أحد جردها.

افصل ملف التعريف عن الحساب

ملف تعريف اتصال محلي يحدد كيفية الوصول إلى البوابة. الحساب المصرح له عند البوابة يحدد ما إذا كان المتصل يستطيع الدخول. يُجهّز الاثنان أشخاص مختلفون ويُلغيان لأسباب مختلفة، لذا لا تعامل ملف التعريف أبدًا على أنه التصريح. الشهادات تقع بينهما. الشهادة التي تُسلّم مع ملف التعريف تصادق على الجهاز أو المستخدم، وإلغاؤها عند البوابة ينهي الوصول حتى لو بقي ملف التعريف على القرص. التصميم القائم على كلمة المرور وحدها يتكئ على دورة حياة الحساب بدلًا من ذلك، ولهذا يجب أن تحدد مذكرة التسليم أيهما قيد الاستخدام.

حدد أيضًا ما إذا كان العميل شبكة VPN على مستوى النظام أم نفقًا لتطبيق واحد. التصميم لكل تطبيق يوجه التطبيقات المختارة فقط، ويعتمد على دعم العميل لهذا النموذج على إصدار macOS المستخدم، لذا تحقق منه على جهاز تجريبي بدلًا من افتراض أن الإعداد ينتقل.

سلّم دون كلمة مرور مدير

يحتاج المستخدم إلى بدء الاتصال وتسجيل الدخول والتعافي بعد تغيير كلمة المرور. لا شيء من ذلك يتطلب حساب مدير، ولا شيء منه يبرر تضمين بيانات الاعتماد في نص برمجي أو إجراء Automator أو خطوة تثبيت لاحقة في حزمة موقعة.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

الأمران الأولان عمليتان على مستوى المستخدم يستطيع مكتب الدعم إرشاد أحد عبرهما. الأمر الثالث يقرأ نشاط النفق الأخير عند فشل اتصال، وهو الأثر الذي ينبغي طلبه بدلًا من لقطة شاشة لمربع حوار خطأ.

إذا كانت خطوة ما زالت تتطلب موافقة مدير، فهذا عيب في التسليم: أعد الطلب نفسه إلى مالك ملف التعريف بدلًا من منح حساب بسلطة أكبر مما تحتاجه المهمة.

سجّل الدخول بحساب المستخدم القياسي ثم اكتب مسار الخروج

سجّل الدخول بالحساب القياسي، واتصل، ووصل إلى المضيف الداخلي المقصود، ودع Mac ينام، ثم أيقظه وتأكد من إعادة الاتصال. أعد ذلك بعد تغيير كلمة المرور، لأن نصف عمليات النشر هذه تفشل هناك فعليًا. اكتب مسار الاستعادة قبل أن يحتاجه أول مستخدم: ما تفعله عند غياب ملف التعريف، وعند انتهاء صلاحية الشهادة، وعند رفض البوابة تسجيل دخول صحيحًا في غير ذلك. احتفظ بهذه الأجوبة الثلاثة حيث يستطيع مكتب الدعم العثور عليها.

أخيرًا، خطط للإزالة. شبكة VPN لا يمكن إزالتها من جهاز Mac لمستخدم مغادر في عملية واحدة هي ملاحظة في مراجعة وصول على وشك الوقوع.