Звычайны карыстальнік Mac з кіраваным VPN: што павінен забяспечыць ІТ-аддзел

Звычайныя ўліковыя запісы macOS могуць цэлы дзень трымаць карпаратыўны VPN, а ІТ-аддзел захоўвае ўсе прывілеяваныя аперацыі. Дасягнуць гэтага — рашэнне пра дастаўку, а не спрэчка пра правы: выберыце, хто ўсталёўвае кліент, хто стварае злучэнне і што карыстальніку дазволена змяняць. Тры шляхі пакрываюць амаль усе выпадкі, і кожны з іх правальваецца па-свойму. Выбірайце шлях паводле ўласнасці на прыладу і тыпу ўліковых даных, а затым праверце яго як звычайны карыстальнік, а не як вы самі.

Тры шляхі дастаўкі і што кожны з іх вырашае

Першы шлях — кіраваны профіль канфігурацыі, які дастаўляе сістэма кіравання прыладамі арганізацыі. Карысная нагрузка VPN змяшчае шлюз, метад аўтэнтыфікацыі, маршруты і DNS, і ўсталёўваецца праз канал прылады або карыстальніка ў залежнасці ад таго, як зарэгістраваны Mac. Другі шлях — самастойны ўсталёўшчык: карыстальнік запускае зацверджаны пакет, які размяшчае кліент і запісвае злучэнне за яго. Гэта працуе, калі рэгістрацыі ў кіраванні няма, але арганізацыя ўсё яшчэ хоча паўторную і прыдатную да прагляду канфігурацыю. Трэці шлях — карыстальнік стварае злучэнне ўручную ў Сістэмных наладах, прытрымліваючыся апублікаваных значэнняў. Гэта найтанчэй пачаць і найдаражэй падтрымліваць, бо кожная памылка на баку кліента становіцца званком у службу падтрымкі, а кожная змена — памяткай.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Прачытайце першы спіс, каб убачыць, якія злучэнні існуюць і каму яны належаць, а два іншыя — каб убачыць, што было ўсталявана як палітыка. Профіль, якога няма ні ў адным спісе, не прыбыў, што б ні казалі карыстальніку.

Вырашайце паводле ўласнасці на прыладу, а не паводле пасады

Mac, які належыць арганізацыі, звычайна апраўдвае першы шлях, бо той жа канал, што дастаўляе VPN, можа яго выдаліць, і карыстальнік не можа ціха адрэдагаваць злучэнне. Выбірайце канал прылады, калі тунель павінен існаваць да таго, як увайдзе любы карыстальнік, і канал карыстальніка, калі злучэнне належыць чалавеку. Асабісты Mac з карпаратыўнай паслугай звычайна паказвае на другі шлях. Арганізацыя не можа кіраваць прыладай, таму ўсталёўшчык павінен быць невялікім, абарачальным і дастаткова дакументаваным, каб карыстальнік мог яго адмяніць.

Трэці шлях застаецца разумным для жменькі тэхнічных карыстальнікаў са стабільнай наладай і для тых, хто тэсціруе шлюз перад разгортваннем. Ніжэй за гэты маштаб ён ператвараецца ў неправераны набор набраных уручную налад, які ніхто не можа ўлічыць.

Аддзяліце профіль ад уліковага запісу

Лакальны профіль злучэння кажа, як дабрацца да шлюза. Уліковы запіс, аўтарызаваны на шлюзе, кажа, ці можа той, хто тэлефануе, увайсці. Іх забяспечваюць розныя людзі і адклікаюць па розных прычынах, таму ніколі не лічыце профіль аўтарызацыяй. Сертыфікаты знаходзяцца паміж імі. Сертыфікат, дастаўлены з профілем, аўтэнтыфікуе прыладу або карыстальніка, і яго адкліканне на шлюзе спыняе доступ, нават калі профіль застаецца на дыску. Дызайн толькі з паролем абапіраецца на жыццёвы цыкл уліковага запісу, таму нататка пра перадачу павінна паказваць, які з двух выкарыстоўваецца.

Таксама вырашыце, ці кліент — гэта сістэмны VPN ці тунель для асобных праграм. Дызайн для асобных праграм маршрутызуе толькі выбраныя праграмы, і ён залежыць ад таго, ці падтрымлівае кліент гэтую мадэль на выкарыстоўванай версіі macOS, таму праверце гэта на пілотнай машыне, а не мяркуйце, што налада перанясецца.

Перадайце без пароля адміністратара

Карыстальніку трэба запусціць злучэнне, увайсці і аднавіцца пасля змены пароля. Нішто з гэтага не патрабуе ўліковага запісу адміністратара, і нішто не апраўдвае ўбудову ўліковых даных у скрыпт, дзеянне Automator або постінсталяцыйны крок падпісанага пакета.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Першыя дзве каманды — гэта аперацыі ўзроўню карыстальніка, якія служба падтрымкі можа правесці з кімсьці. Трэцяя чытае нядаўнюю актыўнасць тунеля, калі злучэнне не ўдаецца, і гэта той артэфакт, які трэба запытаць замест здымка дыялога памылкі.

Калі нейкі крок усё яшчэ патрабуе адабрэння адміністратара, гэта дэфект дастаўкі: вярніце дакладны запыт уладальніку профілю замест таго, каб выдаваць уліковы запіс з большымі паўнамоцтвамі, чым патрэбна задачы.

Увайдзіце як звычайны карыстальнік, потым запішыце выхад

Увайдзіце са звычайным уліковым запісам, падключыцеся, дасягніце патрэбнага ўнутранага хоста, дайце Mac заснуць, разбудзіце яго і пацвердзіце перападключэнне. Паўтарыце пасля змены пароля, бо менавіта там палова такіх разгортванняў фактычна правальваецца. Запішыце шлях аднаўлення да таго, як ён спатрэбіцца першаму карыстальніку: што рабіць, калі профіль адсутнічае, калі сертыфікат скончыўся і калі шлюз адхіляе іншым спосабам правільны ўваход. Трымайце гэтыя тры адказы там, дзе служба падтрымкі зможа іх знайсці.

Нарэшце, сплануйце выдаленне. VPN, які нельга выдаліць з Mac карыстальніка, што сыходзіць за адну аперацыю, — гэта знаходка агляду доступу, якая вось-вось адбудзецца.