FortiClient på macOS: administreret eller manuel, og hvad du skal indsamle

Opsætningen af FortiClient begynder med den tjeneste, du tilslutter dig, ikke med den VPN-knap, der vises først. En administreret virksomheds-Mac og en personligt konfigureret klient kan kræve forskellige installationsprogrammer, forskellige policyejere og forskellige tilmeldingsrin. At beslutte den model først sparer en time på at installere den forkerte pakke.

Beslut ejerskabsmodellen først

Vælg administreret, når organisationen kører FortiClient EMS og forventer at klargøre forbindelser, profiler og sikkerhedsmoduler centralt. Vælg kun manuel, når administratoren bekræfter, at manuel konfiguration er tilladt for din konto og enhed. Skriv valget ned, og opbevar det sammen med enhedsregistreringen. At ændre det senere er en gentilmelding, ikke et afkrydsningsfelt.

De to modeller kan ikke udskiftes bagefter. En administreret profil kan låses, og at fjerne styringen for at blotlægge manuelle kontroller er en policyændring forklædt som fejlfinding. Hvis en låst profil blokerer den forbindelse, du har brug for, er det en samtale med ejeren, ikke en lokal omvej.

Indsaml forbindelseskontrakten

Før installation skal du indsamle fem input: VPN-protokollen, gatewayens værtsnavn, enhver ikke-standardport, godkendelsesmetoden og de involverede certifikater eller tokens. Bekræft også, om EMS klargør forbindelsen, eller om du konfigurerer den manuelt.

Hold kontologin, en klientcertifikatidentitet og et tilmeldings-token adskilt. De kan optræde i samme arbejdsgang uden at være udskiftelige legitimationsoplysninger. Indsæt ikke en fuld browser-login-URL i et gatewayfelt, medmindre udrulningsinstruktionerne udtrykkeligt kræver det format.

Tilpas protokollen til gateway-versionen

Det er gateway-softwaren, der bestemmer, hvilke protokoller der er tilgængelige, ikke klientmenuen. Fortinet dokumenterer, at FortiOS 7.6.3 og nyere ikke længere understøtter SSL VPN tunneltilstand, så en ældre SSL-VPN-gennemgang erstatter ikke administratorens aktuelle instruktioner. Spørg, hvilken tilstand gatewayen betjener, før du vælger en protokol. Notér tilstanden i forbindelsesnotaterne. Den næste person får brug for det.

I en understøttet SSL-VPN-udrulning bruger FortiClients dokumenterede form et forbindelsesnavn, en Remote Gateway og en valgfri tilpasset port. IPsec har sine egne indstillinger, og at vælge det er ikke en konvertering af en SSL-profil. Kopiering af felter mellem de to giver en forbindelse, der ser konfigureret ud og aldrig fuldføres.

Installer, godkend, klargør

Kør det godkendte installationsprogram til den tilsigtede udrulning, og fuldfør derefter de macOS-godkendelser, det anmoder om. Bekræft udgiveren og den anmodede komponent, mens du godkender systemudvidelsen og VPN-konfigurationen, fordi tilladelsesetiketter og placeringer ændrer sig mellem macOS-versioner og et gammelt skærmbillede er ikke en grund til at svække opstartssikkerheden.

Hvis Macen er administreret, så lad den autoriserede politik levere forbindelsen, og overskriv den ikke. Hvis manuel opsætning er tilladt, skal du åbne Remote Access og indtaste den kontrakt, du indsamlede. Opret derefter forbindelse med den leverede godkendelsesflow, inklusive ethvert browser-single-sign-on eller anden faktor, og validér serverens identitet i stedet for at klikke gennem en uventet certifikatadvarsel.

Bekræft ressourcen, ikke det grønne ikon

Når tunnelen er oppe, skal du åbne det autoriserede private program og bekræfte, at dets interne navn opløses som forventet. En tilsluttet-indikator er ikke bevis for, at hver rute eller DNS-domæne er klargjort, og det er bestemt ikke bevis for, at det program, du har brug for, kan nås.

FortiClient-forbindelsesvejledningen er versioneret, så læs den udgave, der matcher den installerede pakke. Hvis opsætningen mislykkes, skal du rapportere klientbuild, macOS-version, profilidentitet, tidspunkt og den første meningsfulde fejl og holde eksporterede hemmeligheder og private nøgler ude af rapporten.

En vellykket opsætning betyder, at den godkendte klient, policyejeren, godkendelsesmetoden og ressourcestien alle stemmer overens. Det betyder ikke, at hver Mac har brug for hvert sikkerhedsmodul, eller at hver tilladelsesanmodning bør accepteres uden at læse den.