İdarə olunan VPN ilə standart Mac istifadəçisi: İT nəyə sahib olmalıdır

Standart macOS hesabları gün boyu korporativ VPN işlədə bilər, İT isə bütün imtiyazlı əməliyyatları özündə saxlayır. Buna çatmaq icazə mübahisəsi deyil, təchizat qərarıdır: müştərini kimin quraşdıracağını, bağlantını kimin yazacağını və istifadəçinin nəyi dəyişə biləcəyini seçin. Üç marşrut demək olar ki, bütün halları əhatə edir və hər biri fərqli şəkildə uğursuz olur. Marşrutu cihaz sahibliyinə və etimad məlumatının növünə görə seçin, sonra onu özünüz kimi deyil, standart istifadəçi kimi sınaqdan keçirin.

Üç təchizat marşrutu və hər birinin həll etdiyi

Birinci marşrut təşkilatın cihaz idarəetməsi ilə verilən idarə olunan konfiqurasiya profilidir. VPN yükü şlüzü, autentifikasiya üsulunu, marşrutları və DNS-i daşıyır və Mac-ın necə qeydiyyata alındığından asılı olaraq cihaz və ya istifadəçi kanalı ilə quraşdırılır. İkinci marşrut özünəquraşdırma paketidir: istifadəçi müştərini yerləşdirən və bağlantını onun adına yazan təsdiqlənmiş paketi işlədir. Bu, idarəetmə qeydiyyatı olmadıqda, lakin təşkilat hələ də təkrarlana bilən və nəzərdən keçirilə bilən konfiqurasiya istədikdə işləyir. Üçüncü marşrut istifadəçinin bağlantını Sistem Parametrlərində əl ilə, dərc edilmiş dəyərlərə uyğun yaratmasıdır. Başlamaq üçün ən ucuz, dəstəkləmək üçün ən bahalıdır, çünki müştəri tərəfindəki hər səhv dəstək masasına zəngə, hər dəyişiklik isə memoğa çevrilir.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Hansı bağlantıların olduğunu və onlara kimin sahib olduğunu görmək üçün birinci siyahını, siyasət kimi nəyin quraşdırıldığını görmək üçün isə digər ikisini oxuyun. Heç bir siyahıda görünməyən profil gəlməyib, istifadəçiyə nə deyilsə də.

Cihaz sahibliyinə görə qərar verin, vəzifəyə görə deyil

Təşkilata məxsus Mac adətən birinci marşrutu əsaslandırır, çünki VPN-i verən kanal onu silə bilər və istifadəçi bağlantını səssizcə redaktə edə bilməz. Tunel hər hansı istifadəçi daxil olmadan əvvəl mövcud olmalıdırsa cihaz kanalını, bağlantı şəxsə aiddirsə istifadəçi kanalını seçin. Korporativ xidməti olan şəxsi Mac adətən ikinci marşruta işarə edir. Təşkilat cihazı idarə edə bilməz, ona görə quraşdırıcı kiçik, geri qaytarıla bilən və istifadəçinin onu ləğv edə biləcəyi qədər sənədləşdirilmiş olmalıdır.

Üçüncü marşrut sabit quraşdırmaya malik bir neçə texniki istifadəçi və şlüzü yayılmazdan əvvəl sınaqdan keçirən hər kəs üçün məqul qalır. Bu həddən aşağıda o, heç kimin inventarlaşdıra bilməyəcəyi, əl ilə yazılmış auditi olmayan parametrlər toplusuna çevrilir.

Profili hesabdan ayırın

Lokal bağlantı profili şlüzə necə çatmağı bildirir. Şlüzdə səlahiyyətləndirilmiş hesab isə zəng edənin girə biləcəyini bildirir. Onları fərqli insanlar təmin edir və fərqli səbəblərə görə ləğv edir, ona görə profili heç vaxt səlahiyyət kimi qəbul etməyin. Sertifikatlar arada dayanır. Profil ilə verilən sertifikat cihazı və ya istifadəçini autentifikasiya edir və şlüzdə ləğv edildikdə, profil diskdə qalsa belə, giriş bitir. Yalnız parola əsaslı dizayn əvəzinə hesabın həyat dövrünə söykənir, buna görə təhvil qeydi ikisindən hansının işlədiyini bildirməlidir.

Həmçinin müştərinin sistem səviyyəli VPN, yoxsa tətbiq başına tunel olduğunu qərar verin. Tətbiq başına dizayn yalnız seçilmiş tətbiqləri yönləndirir və müştərinin bu modeli istifadə olunan macOS versiyasında dəstəkləməsindən asılıdır, ona görə parametrin özü ilə getdiyini güman etmək əvəzinə onu sınaq maşınında yoxlayın.

Administrator parolu olmadan təhvil verin

İstifadəçi bağlantını başlatmalı, daxil olmalı və parola dəyişikliyindən sonra bərpa etməlidir. Bunların heç biri administrator hesabı tələb etmir və heç biri etimad məlumatlarını skriptdə, Automator əməliyyatında və ya imzalanmış paketin quraşdırmadan sonrakı addımında yerləşdirməyi əsaslandırmır.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

İlk iki əmr dəstək masasının birini yönləndirə biləcəyi istifadəçi səviyyəli əməliyyatlardır. Üçüncü əmr bağlantı uğursuz olduqda son tunel fəaliyyətini oxuyur və xəta dialoqunun ekran görüntüsü əvəzinə tələb edilməli olan artefaktdır.

Bir addım hələ də administrator təsdiqi tələb edirsə, bu təchizat qüsurudur: tapşırığın ehtiyac duyduğundan daha böyük səlahiyyətli hesab vermək əvəzinə dəqiq sorğunu profil sahibinə qaytarın.

Standart istifadəçi kimi daxil olun, sonra çıxışı yazın

Standart hesabla daxil olun, qoşulun, nəzərdə tutulan daxili hosta çatın, Mac-ın yatmasına icazə verin, oyadın və yenidən qoşulmanı təsdiqləyin. Parola dəyişikliyindən sonra təkrarlayın, çünki bu yerləşdirmələrin yarısı məhz orada uğursuz olur. Bərpa yolunu ilk istifadəçi ona ehtiyac duymazdan əvvəl yazın: profil itdikdə, sertifikatın müddəti bitdikdə və şlüz başqa cür qüvvədə olan girişi rədd etdikdə nə etməli. Bu üç cavabı dəstək masasının tapa biləcəyi yerdə saxlayın.

Nəhayət, silinməni planlaşdırın. Bir əməliyyatda gedən istifadəçinin Mac-ından çıxarıla bilməyən VPN, baş verməyi gözləyən giriş nəzarəti tapıntısıdır.