Defnyddiwr Mac safonol gyda VPN a reolir: beth yw cyfrifoldeb TG

Gall cyfrifon macOS safonol redeg VPN corfforaethol drwy’r dydd tra bod TG yn cadw pob gweithrediad breintiedig. Cyrraedd yno yw penderfyniad dosbarthu, nid dadl am ganiatâd: dewiswch pwy sy’n gosod y cleient, pwy sy’n llunio’r cysylltiad, a beth y caiff y defnyddiwr ei newid. Mae tair llwybr yn cwmpasu bron pob achos, ac maen nhw’n methu mewn ffyrdd gwahanol. Dewiswch y llwybr yn ôl perchnogaeth y ddyfais a’r math o gymhwyster, yna profwch ef fel y defnyddiwr safonol yn hytrach nag fel chi’ch hun.

Tair llwybr cyflenwi a’r hyn y mae pob un yn ei setlo

Y llwybr cyntaf yw proffil ffurfweddu a reolir a gyflenwir gan system rheoli dyfeisiau’r sefydliad. Mae llwyth VPN yn cario’r porth, y dull dilysu, y llwybrau a’r DNS, ac mae’n gosod drwy sianel y ddyfais neu’r defnyddiwr yn dibynnu ar sut y mae’r Mac wedi’i gofrestru. Yr ail lwybr yw gosodwr hunan-wasanaeth: mae’r defnyddiwr yn rhedeg pecyn cymeradwy sy’n rhoi’r cleient ac yn ysgrifennu’r cysylltiad drosto. Mae’n gweithio pan nad oes cofrestriad rheoli, ond mae’r sefydliad yn dal i eisiau ffurfwedd y gellir ei hailadrodd a’i hadolygu. Y trydydd llwybr yw i’r defnyddiwr greu’r cysylltiad â llaw yn Gosodiadau’r System, gan ddilyn gwerthoedd a gyhoeddwyd. Dyma’r rhataf i’w ddechrau a’r drutaf i’w gynnal, oherwydd mae pob camgymeriad ar ochr y cleient yn dod yn alwad i’r ddesg gymorth ac mae pob newid yn dod yn nodyn.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Darllenwch y rhestr gyntaf i weld pa gysylltiadau sy’n bodoli a phwy sy’n berchen arnynt, a’r ddau arall i weld beth a osodwyd fel polisi. Nid yw proffil nad yw’n ymddangos yn y naill restr na’r llall wedi cyrraedd, beth bynnag a ddywedwyd wrth y defnyddiwr.

Penderfynwch yn ôl perchnogaeth y ddyfais, nid yn ôl hynafiaeth

Mae Mac sy’n eiddo i’r sefydliad fel arfer yn cyfiawnhau’r llwybr cyntaf, oherwydd gall yr un sianel sy’n cyflenwi’r VPN ei dynnu, ac ni all y defnyddiwr olygu’r cysylltiad yn dawel. Dewiswch sianel y ddyfais pan fo’n rhaid i’r twnnel fodoli cyn i unrhyw ddefnyddiwr fewngofnodi, a sianel y defnyddiwr pan fo’r cysylltiad yn perthyn i’r person. Mae Mac personol gyda gwasanaeth corfforaethol fel arfer yn cyfeirio at yr ail lwybr. Ni all y sefydliad reoli’r ddyfais, felly rhaid i’r gosodwr fod yn fach, yn wrthdro ac wedi’i ddogfennu’n ddigon da i’r defnyddiwr allu ei ddadwneud.

Mae’r trydydd llwybr yn parhau’n rhesymol ar gyfer llond llaw o ddefnyddwyr technegol â sefydliad sefydlog, ac ar gyfer unrhyw un sy’n profi porth cyn ei gyflwyno. Islaw’r raddfa honno mae’n troi’n set heb ei archwilio o osodiadau a deipiwyd â llaw na all neb eu rhestru.

Gwahanwch y proffil oddi wrth y cyfrif

Mae proffil cysylltiad lleol yn dweud sut i gyrraedd y porth. Mae cyfrif a awdurdodwyd yn y porth yn dweud a gaiff y galwr fynd i mewn. Maen nhw’n cael eu darparu gan wahanol bobl ac yn cael eu dirymu am wahanol resymau, felly peidiwch byth â thrin y proffil fel yr awdurdodiad. Mae tystysgrifau yn eistedd rhyngddynt. Mae tystysgrif a ddanfonwyd gyda’r proffil yn dilysu’r ddyfais neu’r defnyddiwr, ac mae ei dirymu yn y porth yn dod â mynediad i ben hyd yn oed os yw’r proffil yn parhau ar y disg. Mae dyluniad cyfrinair yn unig yn pwyso ar gylch bywyd y cyfrif yn lle hynny, a dyna pam y mae’n rhaid i’r nodyn trosglwyddo ddweud pa un o’r ddau sydd ar waith.

Penderfynwch hefyd a yw’r cleient yn VPN system neu’n dwnnel fesul ap. Mae dyluniad fesul ap yn llwybrhau’r apiau a ddewiswyd yn unig, ac mae’n dibynnu ar y cleient yn cefnogi’r model hwnnw ar y fersiwn macOS a ddefnyddir, felly gwiriwch ef ar beiriant peilot yn hytrach na thybio bod y gosodiad yn teithio.

Trosglwyddwch heb gyfrinair gweinyddwr

Mae angen i’r defnyddiwr ddechrau’r cysylltiad, mewngofnodi, ac adfer ar ôl newid cyfrinair. Nid oes yr un o’r rheini’n gofyn am gyfrif gweinyddwr, ac nid oes yr un yn cyfiawnhau mewnblannu cymwysterau mewn sgript, gweithred Automator na cham ôl-osod pecyn wedi’i lofnodi.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Mae’r ddau orchymyn cyntaf yn weithrediadau ar lefel defnyddiwr y gall desg gymorth rywun gael ei arwain drwyddynt. Mae’r trydydd yn darllen gweithgarwch twnnel diweddar pan fydd cysylltiad yn methu, a dyna’r arteffact i’w ofyn amdano yn lle sgrinlun o ddeialog gwall.

Os yw cam yn dal i ofyn am gymeradwyaeth gweinyddwr, diffyg cyflenwi yw hwnnw: anfonwch yr anogwr union yn ôl at berchennog y proffil yn lle dosbarthu cyfrif â mwy o awdurdod nag sydd ei angen ar y dasg.

Mewngofnodwch fel y defnyddiwr safonol, yna ysgrifennwch yr allanfa

Mewngofnodwch gyda’r cyfrif safonol, cysylltwch, cyrhaeddwch y gwesteiwr mewnol bwriadedig, gadewch i’r Mac gysgu, deffrowch ef a chadarnhewch ailgysylltu. Ailadroddwch ar ôl newid cyfrinair, oherwydd dyna lle mae hanner y defnyddiadau hyn yn methu mewn gwirionedd. Ysgrifennwch y llwybr adfer cyn i’r defnyddiwr cyntaf fod ei angen: beth i’w wneud pan fydd y proffil ar goll, pan fydd y dystysgrif wedi dod i ben, a phan fydd y porth yn gwrthod mewngofnodiad sy’n ddilys fel arall. Cadwch y tair ateb hynny lle y gall y ddesg gymorth eu canfod.

Yn olaf, cynlluniwch y tynnu. Mae VPN na ellir ei dynnu oddi ar Mac defnyddiwr sy’n gadael mewn un gweithrediad yn ganfyddiad adolygiad mynediad sy’n barod i ddigwydd.