FortiClient на macOS: управляван или ръчен режим и какво да съберете

Настройката на FortiClient започва от услугата, към която се присъединявате, а не от който и да е VPN бутон, който се появи пръв. Управляван корпоративен Mac и лично конфигуриран клиент може да се нуждаят от различни инсталатори, различни собственици на политики и различни стъпки за записване. Ако решите модела първо, пестите час от инсталиране на грешен пакет.

Решете модела на собственост първо

Изберете управляван, когато организацията управлява FortiClient EMS и очаква централно предоставяне на връзки, профили и модули за сигурност. Изберете ръчен само когато администраторът потвърди, че ръчната конфигурация е разрешена за вашия акаунт и устройство. Запишете избора и го пазете с досието на устройството. Промяната му по-късно е повторно записване, а не отметка.

Двата модела не са взаимозаменяеми след факта. Управляваният профил може да бъде заключен, а премахването на управлението, за да се покажат ръчни контроли, е промяна на политика, прикрита като отстраняване на проблеми. Ако заключен профил блокира връзката, от която се нуждаете, това е разговор със собственика, а не местно заобикаляне.

Съберете договора за връзка

Преди инсталирането съберете пет входни данни: VPN протокола, името на хоста на шлюза, всеки нестандартен порт, метода за удостоверяване и участващите сертификати или токени. Също потвърдете дали EMS предоставя връзката или вие я конфигурирате ръчно.

Пазете отделно влизането в акаунта, самоличността на клиентски сертификат и токена за записване. Те може да се появят в един и същ работен поток, без да са взаимозаменяеми удостоверения. Не поставяйте пълен URL за влизане през браузър в поле на шлюза, освен ако инструкциите за внедряване изрично не изискват този формат.

Съпоставете протокола с версията на шлюза

Софтуерът на шлюза решава кои протоколи са налични, а не менюто на клиента. Fortinet документира, че FortiOS 7.6.3 и по-нови вече не поддържат SSL VPN тунелен режим, затова стар наръчник за SSL-VPN не замества актуалните инструкции на администратора. Попитайте кой режим обслужва шлюзът, преди да изберете протокол. Запишете режима в бележките за връзката. Следващият човек ще се нуждае от него.

При поддържано внедряване на SSL-VPN документираната форма на FortiClient използва име на връзка, Remote Gateway и незадължителен персонализиран порт. IPsec има свои настройки и избирането му не е преобразуване на SSL профил. Копирането на полета между двете създава връзка, която изглежда конфигурирана и никога не завършва.

Инсталирайте, одобрете, предоставете

Стартирайте одобрения инсталатор за предвиденото внедряване, после изпълнете одобренията на macOS, които той изисква. Проверете издателя и поискания компонент, докато одобрявате системното разширение и конфигурацията на VPN, защото етикетите и местоположенията на разрешенията се променят между версиите на macOS и стара снимка на екрана не е причина да отслабите сигурността при стартиране.

Ако Mac е управляван, оставете оторизираната политика да предостави връзката и не я презаписвайте. Ако ръчната настройка е разрешена, отворете Remote Access и въведете договора, който събрахте. След това се свържете с предоставения поток за удостоверяване, включително всяко единично влизане през браузър или втори фактор, и проверете самоличността на сървъра, вместо да кликвате през неочаквано предупреждение за сертификат.

Проверете ресурса, а не зелената икона

След като тунелът се вдигне, отворете оторизираното частно приложение и потвърдете, че вътрешното му име се разрешава както се очаква. Индикаторът за свързаност не е доказателство, че всеки маршрут или DNS домейн е предоставен, и със сигурност не е доказателство, че приложението, от което се нуждаете, е достъпно.

Ръководството за връзки на FortiClient е версионирано, затова четете изданието, което отговаря на инсталирания пакет. Ако настройката се провали, докладвайте компилацията на клиента, версията на macOS, самоличността на профила, времето и първата значима грешка, а експортираните тайни и частни ключове дръжте извън доклада.

Успешната настройка означава, че одобреният клиент, собственикът на политиката, методът за удостоверяване и пътят до ресурса съвпадат. Това не означава, че всеки Mac се нуждае от всеки модул за сигурност или че всяка заявка за разрешение трябва да се приеме без прочитане.