Стандартен потребител на Mac с управляван VPN: какво трябва да осигури ИТ

Стандартните акаунти в macOS могат да работят с корпоративен VPN цял ден, докато ИТ запазва всяка привилегирована операция. Да се стигне дотам е решение за доставяне, а не спор за права: изберете кой инсталира клиента, кой създава връзката и какво е позволено на потребителя да променя. Три маршрута покриват почти всеки случай и всеки от тях се проваля по различен начин. Изберете маршрута според собствеността на устройството и вида на идентификационните данни, после го тествайте като стандартен потребител, а не като себе си.

Три маршрута за доставяне и какво решава всеки

Първият маршрут е управляван конфигурационен профил, доставян от системата за управление на устройства на организацията. VPN товарът носи шлюза, метода за удостоверяване, маршрутите и DNS и се инсталира през канала за устройство или за потребител в зависимост от това как е регистриран Mac. Вторият маршрут е самостоятелен инсталатор: потребителят стартира одобрен пакет, който поставя клиента и записва връзката вместо него. Това работи, когато няма регистрация в управлението, но организацията все още иска повторима и преглеждаема конфигурация. Третият маршрут е потребителят да създаде връзката ръчно в Системни настройки, следвайки публикувани стойности. Той е най-евтин за начало и най-скъп за поддръжка, защото всяка грешка от страна на клиента става обаждане до помощния център, а всяка промяна — бележка.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Прочетете първия списък, за да видите кои връзки съществуват и кой ги притежава, а другите два — за да видите какво е инсталирано като политика. Профил, който не се появява в нито един от списъците, не е пристигнал, каквото и да са казали на потребителя.

Решавайте според собствеността на устройството, не според старшинството

Mac, собственост на организацията, обикновено оправдава първия маршрут, защото същият канал, който доставя VPN, може да го премахне и потребителят не може тихо да редактира връзката. Изберете канала за устройство, когато тунелът трябва да съществува преди влизането на който и да е потребител, и канала за потребител, когато връзката принадлежи на човека. Личен Mac с корпоративна услуга обикновено сочи към втория маршрут. Организацията не може да управлява устройството, затова инсталаторът трябва да е малък, обратим и документиран достатъчно добре, че потребителят да може да го отмени.

Третият маршрут остава разумен за шепа технически потребители със стабилна настройка и за всеки, който тества шлюз преди разгръщане. Под този мащаб той се превръща в неодитиран набор от набрани на ръка настройки, които никой не може да инвентаризира.

Разделете профила от акаунта

Локалният профил за връзка казва как да се стигне до шлюза. Акаунтът, оторизиран на шлюза, казва дали звънящият може да влезе. Те се осигуряват от различни хора и се отнемат по различни причини, затова никога не третирайте профила като оторизацията. Сертификатите стоят между тях. Сертификат, доставен с профила, удостоверява устройството или потребителя и отнемането му на шлюза прекратява достъпа, дори профилът да остане на диска. Дизайнът само с парола разчита на жизнения цикъл на акаунта, затова бележката при предаване трябва да казва кой от двата е в игра.

Решете също дали клиентът е системен VPN или тунел за отделни приложения. Дизайнът за отделни приложения насочва само избрани приложения и зависи от това дали клиентът поддържа този модел на използваната версия на macOS, затова го проверете на пилотна машина, вместо да предполагате, че настройката се пренася.

Предайте без администраторска парола

Потребителят трябва да стартира връзката, да влезе и да се възстанови след смяна на паролата. Никое от тези не изисква администраторски акаунт и никое не оправдава вграждането на идентификационни данни в скрипт, действие на Automator или пост-инсталационна стъпка на подписан пакет.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Първите две команди са операции на потребителско ниво, през които помощният център може да преведе някого. Третата чете скорошна активност на тунела, когато връзката се провали, и това е артефактът, който да поискате вместо снимка на екран на диалог за грешка.

Ако дадена стъпка все още изисква администраторско одобрение, това е дефект в доставянето: върнете точната заявка на собственика на профила, вместо да давате акаунт с повече правомощия, отколкото задачата изисква.

Влезте като стандартен потребител, после опишете изхода

Влезте със стандартния акаунт, свържете се, стигнете до предвидения вътрешен хост, оставете Mac да заспи, събудете го и потвърдете повторното свързване. Повторете след смяна на паролата, защото точно там половината от тези внедрявания всъщност се провалят. Запишете пътя за възстановяване, преди първият потребител да се нуждае от него: какво да правите, когато профилът липсва, когато сертификатът е изтекъл и когато шлюзът отхвърля иначе валиден вход. Дръжте тези три отговора там, където помощният център може да ги намери.

Накрая планирайте премахването. VPN, който не може да бъде премахнат от Mac на напускащ потребител с една операция, е констатация от преглед на достъпа, която предстои да се случи.