Usuari estàndard de Mac amb una VPN gestionada: què ha d’assumir el departament tècnic

Els comptes estàndard de macOS poden fer funcionar una VPN corporativa tot el dia mentre el departament tècnic conserva cada operació privilegiada. Arribar-hi és una decisió de lliurament, no una discussió sobre permisos: trieu qui instal·la el client, qui crea la connexió i què pot canviar l’usuari. Tres rutes cobreixen gairebé tots els casos, i cadascuna falla d’una manera diferent. Trieu la ruta segons la propietat del dispositiu i el tipus de credencial, i després proveu-la com a usuari estàndard, no com a vosaltres mateixos.

Tres rutes de lliurament i què resol cadascuna

La primera ruta és un perfil de configuració gestionat que lliura el sistema de gestió de dispositius de l’organització. La càrrega de la VPN porta la passarel·la, el mètode d’autenticació, les rutes i el DNS, i s’instal·la pel canal del dispositiu o de l’usuari segons com estigui inscrit el Mac. La segona ruta és un instal·lador d’autoservei: l’usuari executa un paquet aprovat que col·loca el client i escriu la connexió per ell. Funciona quan no hi ha inscripció de gestió, però l’organització encara vol una configuració repetible i revisable. La tercera ruta és que l’usuari creï la connexió a mà a Configuració del sistema, seguint els valors publicats. És la més barata de començar i la més cara de mantenir, perquè cada error del costat del client es converteix en una trucada al servei d’assistència i cada canvi en una nota.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Llegiu el primer llistat per veure quines connexions existeixen i qui en és el propietari, i els altres dos per veure què s’ha instal·lat com a política. Un perfil que no apareix en cap dels dos llistats no ha arribat, digui el que digui a l’usuari.

Decidiu per propietat del dispositiu, no per antiguitat

Un Mac propietat de l’organització normalment justifica la primera ruta, perquè el mateix canal que lliura la VPN la pot retirar, i l’usuari no pot editar la connexió d’amagat. Trieu el canal del dispositiu quan el túnel ha d’existir abans que hi entri cap usuari, i el canal de l’usuari quan la connexió pertany a la persona. Un Mac de propietat personal amb un servei corporatiu normalment apunta a la segona ruta. L’organització no pot gestionar el dispositiu, així que l’instal·lador ha de ser petit, reversible i estar documentat prou bé perquè l’usuari el pugui desfer.

La tercera ruta continua sent raonable per a un grapat d’usuaris tècnics amb una configuració estable, i per a qui prova una passarel·la abans de desplegar-la. Per sota d’aquesta escala es converteix en un conjunt no auditat de paràmetres escrits a mà que ningú no pot inventariar.

Separeu el perfil del compte

Un perfil de connexió local diu com arribar a la passarel·la. Un compte autoritzat a la passarel·la diu si qui truca pot entrar. Els aprovisionen persones diferents i es revoquen per motius diferents, així que no tracteu mai el perfil com l’autorització. Els certificats se situen entremig. Un certificat lliurat amb el perfil autentica el dispositiu o l’usuari, i revocar-lo a la passarel·la acaba l’accés encara que el perfil segueixi al disc. Un disseny només amb contrasenya es recolza en el cicle de vida del compte, i per això la nota de lliurament ha de dir quin dels dos està en joc.

Decidiu també si el client és una VPN de sistema o un túnel per aplicació. Un disseny per aplicació encamina només les aplicacions escollides, i depèn que el client admeti aquest model a la versió de macOS en ús, així que verifiqueu-ho en una màquina pilot en lloc de suposar que el paràmetre viatja.

Lliureu sense contrasenya d’administrador

L’usuari ha d’iniciar la connexió, entrar-hi i recuperar-se d’un canvi de contrasenya. Cap d’aquestes coses no requereix un compte d’administrador, i cap no justifica incrustar credencials en un script, una acció d’Automator o el pas posterior a la instal·lació d’un paquet signat.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Les dues primeres ordres són les operacions d’usuari que un servei d’assistència pot guiar algú a fer. La tercera llegeix l’activitat recent del túnel quan una connexió falla, i és l’artefacte que cal demanar en lloc d’una captura de pantalla d’un diàleg d’error.

Si un pas encara exigeix aprovació d’administrador, és un defecte de lliurament: torneu el missatge exacte al propietari del perfil en lloc de repartir un compte amb més autoritat de la que cal per a la tasca.

Entreu com a usuari estàndard i després escriviu la sortida

Entreu amb el compte estàndard, connecteu-vos, arribeu a l’amfitrió intern previst, deixeu que el Mac dormi, desperteu-lo i confirmeu la reconnexió. Repetiu-ho després d’un canvi de contrasenya, perquè és just aquí on la meitat d’aquests desplegaments fallen de veritat. Escriviu el camí de recuperació abans que el primer usuari el necessiti: què cal fer quan falta el perfil, quan el certificat ha caducat i quan la passarel·la rebutja un inici de sessió d’altra manera vàlid. Guardeu aquestes tres respostes on el servei d’assistència les pugui trobar.

Finalment, planifiqueu la retirada. Una VPN que no es pugui treure del Mac d’un usuari que marxa en una sola operació és una troballa de revisió d’accés a punt de passar.