Běžný uživatel Macu se spravovanou VPN: co musí zajistit IT

Běžné účty macOS mohou celý den provozovat firemní VPN, zatímco IT si ponechává každou privilegovanou operaci. Dostat se tam je rozhodnutí o doručení, ne spor o oprávnění: vyberte, kdo nainstaluje klienta, kdo vytvoří připojení a co smí uživatel měnit. Tři cesty pokrývají téměř každý případ a každá selhává jinak. Vyberte cestu podle vlastnictví zařízení a typu přihlašovacích údajů, pak ji otestujte jako běžný uživatel, ne jako vy sami.

Tři cesty doručení a co každá řeší

První cesta je spravovaný konfigurační profil, který doručuje systém správy zařízení organizace. VPN obsah nese bránu, metodu ověřování, trasy a DNS a instaluje se kanálem zařízení nebo uživatele podle toho, jak je Mac zapsán. Druhá cesta je samoobslužný instalátor: uživatel spustí schválený balíček, který umístí klienta a zapíše připojení za něj. Funguje, když chybí zápis ve správě, ale organizace přesto chce opakovatelnou a přezkoumatelnou konfiguraci. Třetí cesta je, že uživatel vytvoří připojení ručně v Nastavení systému podle zveřejněných hodnot. Je nejlevnější na začátek a nejdražší na podporu, protože každá chyba na straně klienta se stane telefonátem na helpdesk a každá změna se stane poznámkou.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Přečtěte první výpis, abyste viděli, která připojení existují a kdo je vlastní, a další dva, abyste viděli, co bylo nainstalováno jako zásada. Profil, který se neobjeví v žádném z výpisů, nedorazil, ať už bylo uživateli řečeno cokoli.

Rozhodujte podle vlastnictví zařízení, ne podle funkcí

Mac ve vlastnictví organizace obvykle ospravedlňuje první cestu, protože stejný kanál, který VPN doručuje, ji může i odebrat, a uživatel nemůže připojení tiše upravovat. Zvolte kanál zařízení, když tunel musí existovat dřív, než se přihlásí jakýkoli uživatel, a kanál uživatele, když připojení patří dané osobě. Osobní Mac s firemní službou obvykle ukazuje na druhou cestu. Organizace nemůže zařízení spravovat, takže instalátor musí být malý, vratný a dostatečně zdokumentovaný, aby ho uživatel mohl zrušit.

Třetí cesta zůstává rozumná pro hrstku technických uživatelů se stabilním nastavením a pro každého, kdo testuje bránu před zavedením. Pod tímto rozsahem se mění v neauditovanou sadu ručně psaných nastavení, kterou nikdo nedokáže zinventarizovat.

Oddělte profil od účtu

Místní profil připojení říká, jak se dostat k bráně. Účet autorizovaný na bráně říká, zda volající smí vstoupit. Zřizují je různí lidé a ruší se z různých důvodů, takže profil nikdy nepovažujte za autorizaci. Certifikáty stojí mezi nimi. Certifikát doručený s profilem ověřuje zařízení nebo uživatele a jeho zrušení na bráně ukončí přístup, i když profil zůstane na disku. Návrh pouze s heslem se místo toho opírá o životní cyklus účtu, a proto musí předávací poznámka říci, který z těch dvou je ve hře.

Rozhodněte také, zda je klient systémová VPN, nebo tunel pro jednotlivé aplikace. Návrh pro jednotlivé aplikace směruje jen vybrané aplikace a závisí na tom, zda klient tento model podporuje na používané verzi macOS, takže to ověřte na pilotním stroji, místo abyste předpokládali, že nastavení poputuje.

Předejte bez administrátorského hesla

Uživatel musí připojení spustit, přihlásit se a zotavit se po změně hesla. Nic z toho nevyžaduje administrátorský účet a nic z toho neospravedlňuje vložení přihlašovacích údajů do skriptu, akce Automator nebo kroku po instalaci podepsaného balíčku.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

První dva příkazy jsou operace na úrovni uživatele, kterými může helpdesk někoho provést. Třetí čte nedávnou aktivitu tunelu, když připojení selže, a to je artefakt, který je třeba si vyžádat místo snímku obrazovky s dialogem chyby.

Pokud některý krok stále vyžaduje schválení administrátora, je to vada doručení: pošlete přesný dotaz zpět vlastníkovi profilu, místo abyste vydali účet s větší pravomocí, než úkol potřebuje.

Přihlaste se jako běžný uživatel a potom napište cestu ven

Přihlaste se standardním účtem, připojte se, dosáhněte zamýšleného interního hostitele, nechte Mac usnout, probuďte ho a potvrďte opětovné připojení. Zopakujte to po změně hesla, protože právě tam polovina těchto zavádění skutečně selhává. Zapište cestu obnovy dřív, než ji první uživatel bude potřebovat: co dělat, když profil chybí, když certifikát vypršel a když brána odmítne jinak platné přihlášení. Uchovejte ty tři odpovědi tam, kde je helpdesk najde.

Nakonec naplánujte odstranění. VPN, kterou nelze odebrat z Macu odcházejícího uživatele jednou operací, je zjištění z revize přístupu, které se chystá nastat.