FortiClient na macOS: spravovaný, nebo ruční režim a co shromáždit

Nastavení FortiClientu začíná službou, ke které se připojujete, ne tlačítkem VPN, které se objeví první. Spravovaný firemní Mac a ručně nakonfigurovaný klient mohou potřebovat různé instalátory, různé vlastníky zásad a různé kroky registrace. Rozhodnutí o tomto modelu předem ušetří hodinu instalace nesprávného balíčku.

Nejprve rozhodněte o modelu správy

Zvolte spravovaný režim, když organizace provozuje FortiClient EMS a očekává centrální zajištění připojení, profilů a bezpečnostních modulů. Ruční režim zvolte jen tehdy, když správce potvrdí, že ruční konfigurace je pro váš účet a zařízení povolena. Volbu zapište a uložte k záznamu zařízení. Pozdější změna je opětovná registrace, ne zaškrtávací políčko.

Oba modely nejsou později zaměnitelné. Spravovaný profil může být uzamčen a odstranění správy kvůli zpřístupnění ručních ovládacích prvků je změna zásad vydávaná za řešení potíží. Pokud uzamčený profil blokuje připojení, které potřebujete, je to rozhovor s vlastníkem, ne místní obejití.

Shromážděte smlouvu o připojení

Před instalací shromážděte pět vstupů: protokol VPN, jméno hostitele brány, případný nestandardní port, metodu ověřování a zahrnuté certifikáty nebo tokeny. Také ověřte, zda připojení zajišťuje EMS, nebo zda ho konfigurujete ručně.

Uchovávejte odděleně přihlášení k účtu, identitu klientského certifikátu a registrační token. Mohou se objevit ve stejném pracovním postupu, aniž by šlo o zaměnitelné přihlašovací údaje. Nevkládejte úplnou přihlašovací URL prohlížeče do pole brány, pokud pokyny k nasazení výslovně nevyžadují tento formát.

Sladťte protokol s verzí brány

O tom, které protokoly jsou dostupné, rozhoduje software brány, ne nabídka klienta. Fortinet dokumentuje, že FortiOS 7.6.3 a novější už nepodporují SSL VPN tunelový režim, takže starý návod na SSL-VPN nenahrazuje aktuální pokyny správce. Než zvolíte protokol, zeptejte se, který režim brána poskytuje. Režim zapište do poznámek k připojení. Další člověk ho bude potřebovat.

V podporovaném nasazení SSL-VPN používá dokumentovaná podoba FortiClientu název připojení, Remote Gateway a volitelný přizpůsobený port. IPsec má vlastní nastavení a jeho výběr není převodem profilu SSL. Kopírování polí mezi oběma vytvoří připojení, které vypadá nakonfigurované a nikdy se nedokončí.

Nainstalujte, schvalte, zajistěte

Spusťte schválený instalátor pro zamýšlené nasazení a poté dokončete schválení macOS, která vyžaduje. Během schvalování systémového rozšíření a konfigurace VPN ověřte vydavatele a požadovanou komponentu, protože popisky a umístění oprávnění se mezi verzemi macOS mění a starý snímek obrazovky není důvod oslabit zabezpečení spouštění.

Pokud je Mac spravovaný, nechte připojení dodat autorizovanou zásadou a nepřepisujte ho. Pokud je ruční nastavení povoleno, otevřete Remote Access a zadejte smlouvu, kterou jste shromáždili. Poté se připojte pomocí poskytnutého ověřovacího postupu, včetně případného jednotného přihlášení v prohlížeči nebo druhého faktoru, a ověřte identitu serveru, místo abyste proklikali nečekané varování o certifikátu.

Ověřte prostředek, ne zelenou ikonu

Po navázání tunelu otevřete autorizovanou privátní aplikaci a ověřte, že se její interní název překládá podle očekávání. Indikátor připojení není důkazem, že byly zajištěny všechny trasy nebo domény DNS, a rozhodně není důkazem, že aplikace, kterou potřebujete, je dostupná.

Průvodce připojením FortiClient je verzovaný, takže čtěte vydání odpovídající nainstalovanému balíčku. Pokud nastavení selže, nahlaste build klienta, verzi macOS, identitu profilu, čas a první smysluplnou chybu a exportované tajné údaje a soukromé klíče ponechte mimo zprávu.

Úspěšné nastavení znamená, že schválený klient, vlastník zásad, metoda ověřování a cesta k prostředku souhlasí. Neznamená to, že každý Mac potřebuje každý bezpečnostní modul, ani že každý požadavek na oprávnění je třeba přijmout bez přečtení.