FortiClient на macOS: кіраваны ці ручны рэжым і што сабраць
Вызначце, які рэжым — кіраваны ці ручны — да ўсталявання, затым сабярыце пратакол, шлюз, порт і ідэнтычнасць, якіх чакае шлюз. Аднаго імя хоста недастаткова.
Наладка FortiClient пачынаецца з сэрвісу, да якога вы далучаецеся, а не з кнопкі VPN, якая з’явіцца першай. Кіраваны карпаратыўны Mac і кліент, наладжаны асабіста, могуць патрабаваць розных усталёўнікаў, розных уладальнікаў палітык і розных крокаў рэгістрацыі. Калі вызначыць гэтую мадэль загадзя, зэканоміцца гадзіна на ўсталяванне непатрэбнага пакета.
Спачатку вызначце мадэль кіравання
Выбірайце кіраваны рэжым, калі арганізацыя вядзе FortiClient EMS і чакае цэнтралізаванага прадастаўлення злучэнняў, профіляў і модуляў бяспекі. Выбірайце ручны рэжым толькі тады, калі адміністратар пацвердзіць, што ручная наладка дазволена для вашага ўліковага запісу і прылады. Запішыце выбар і захоўвайце яго разам з запісам пра прыладу. Змяніць яго пазней — гэта паўторная рэгістрацыя, а не сцяжок.
Дзве мадэлі не ўзаемазаменныя пасля факту. Кіраваны профіль можна заблакаваць, а выдаленне кіравання, каб адкрыць ручныя элементы, — гэта змена палітыкі пад выглядам пошуку няспраўнасцей. Калі заблакаваны профіль перашкаджае патрэбнаму злучэнню, гэта размова з уладальнікам, а не мясцовы абыход.
Сабярыце дамову аб злучэнні
Перад усталяваннем сабярыце пяць параметраў: пратакол VPN, імя хоста шлюза, любы нестандартны порт, метад аўтэнтыфікацыі і звязаныя сертыфікаты ці токены. Таксама ўдакладніце, ці EMS прадастаўляе злучэнне, ці вы наладжваеце яго ўручную.
Трымайце асобна ўваход у ўліковы запіс, ідэнтычнасць кліенцкага сертыфіката і токен рэгістрацыі. Яны могуць сустракацца ў адным працоўным працэсе, але не з’яўляюцца ўзаемазаменнымі ўліковымі данымі. Не ўстаўляйце поўны URL уваходу праз браўзер у поле шлюза, калі інструкцыі па разгортванні відавочна не патрабуюць такога фармату.
Суаднясіце пратакол з версіяй шлюза
Праграмнае забеспячэнне шлюза вырашае, якія пратаколы даступныя, а не меню кліента. Fortinet дакументуе, што FortiOS 7.6.3 і пазнейшыя версіі больш не падтрымліваюць SSL VPN рэжым тунеля, таму старое кіраўніцтва па SSL-VPN не замяняе бягучыя інструкцыі адміністратара. Спытайце, які рэжым абслугоўвае шлюз, перш чым выбраць пратакол. Запішыце рэжым у нататках пра злучэнне. Наступнаму чалавеку гэта спатрэбіцца.
У падтрымліваным разгортванні SSL-VPN дакументаваная форма FortiClient выкарыстоўвае імя злучэння, Remote Gateway і неабавязковы наладжвальны порт. IPsec мае ўласныя налады, і яго выбар не з’яўляецца пераўтварэннем профілю SSL. Капіраванне палёў паміж імі стварае злучэнне, якое выглядае наладжаным і ніколі не завяршаецца.
Усталюйце, ухваліце, прадастаўце
Запусціце ўхвалены ўсталёўнік для патрэбнага разгортвання, затым выканайце запыты macOS на ўхваленне. Праверце выдаўца і запытаны кампанент, ухваляючы сістэмнае пашырэнне і канфігурацыю VPN, бо назвы дазволаў і іх размяшчэнне змяняюцца паміж выпускамі macOS і стары здымак экрана не прычына паслабляць бяспеку загрузкі.
Калі Mac кіраваны, дазвольце ўпаўнаважанай палітыцы прадаставіць злучэнне і не перазапісвайце яго. Калі ручная наладка дазволена, адкрыйце Remote Access і ўвядзіце дамову, якую вы сабралі. Затым падключыцеся праз прапанаваны паток аўтэнтыфікацыі, уключаючы любы адзіны ўваход праз браўзер або другі фактар, і праверце ідэнтычнасць сервера замест таго, каб прайсці праз нечаканае папярэджанне пра сертыфікат.
Праверце рэсурс, а не зялёную іконку
Пасля ўзняцця тунеля адкрыйце ўпаўнаважаную прыватную праграму і пераканайцеся, што яе ўнутранае імя вырашаецца як чакалася. Індыкатар падключэння не доказ таго, што ўсе маршруты і дамены DNS былі прадастаўлены, і тым больш не доказ таго, што патрэбная вам праграма дасягальная.
Даведнік па злучэннях FortiClient мае версіі, таму чытайце выпуск, які адпавядае ўсталяванаму пакету. Калі наладка не ўдалася, паведаміце зборку кліента, версію macOS, ідэнтычнасць профілю, час і першую значную памылку, а экспартаваныя сакрэты і прыватныя ключы трымайце па-за справаздачай.
Паспяховая наладка азначае, што ўхвалены кліент, уладальнік палітыкі, метад аўтэнтыфікацыі і шлях да рэсурсу ўзгоднены. Гэта не азначае, што кожнаму Mac патрэбны кожны модуль бяспекі або што кожны запыт на дазвол трэба прымаць не чытаючы.