Almindelig Mac-bruger med administreret VPN: hvad IT skal eje

Almindelige macOS-konti kan køre en virksomheds-VPN hele dagen, mens IT beholder enhver privilegeret handling. At nå dertil er en leverancebeslutning, ikke en rettighedsdiskussion: vælg, hvem der installerer klienten, hvem der skriver forbindelsen, og hvad brugeren må ændre. Tre ruter dækker næsten alle tilfælde, og de fejler på hver sin måde. Vælg ruten ud fra enhedsejerskab og legitimationstype, og test den derefter som den almindelige bruger i stedet for som dig selv.

Tre leveranceveje og hvad hver især afgør

Rute et er en administreret konfigurationsprofil, som organisationens enhedsstyring leverer. VPN-nyttelasten bærer gatewayen, godkendelsesmetoden, ruterne og DNS, og den installeres via enheds- eller brugerkanalen afhængigt af, hvordan Macen er registreret. Rute to er en selvbetjeningsinstallatør: brugeren kører en godkendt pakke, der placerer klienten og skriver forbindelsen for ham. Det virker, når der ikke er nogen styringsregistrering, men organisationen stadig vil have en gentagelig, gennemskuelig konfiguration. Rute tre er, at brugeren opretter forbindelsen manuelt i Systemindstillinger efter offentliggjorte værdier. Den er billigst at starte og dyrest at understøtte, fordi hver fejl på klientsiden bliver et opkald til helpdesken, og hver ændring bliver et notat.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Læs den første liste for at se, hvilke forbindelser der findes, og hvem der ejer dem, og de to andre for at se, hvad der blev installeret som politik. En profil, der ikke vises i nogen af listerne, er ikke ankommet, uanset hvad brugeren har fået at vide.

Beslut ud fra enhedsejerskab, ikke ud fra anciennitet

En Mac, som organisationen ejer, begrunder normalt rute et, fordi den samme kanal, der leverer VPN'en, kan fjerne den, og brugeren kan ikke lydløst redigere forbindelsen. Vælg enhedskanalen, når tunnelen skal findes, før nogen bruger logger ind, og brugerkanalen, når forbindelsen tilhører personen. En personligt ejet Mac med en virksomhedstjeneste peger normalt på rute to. Organisationen kan ikke styre enheden, så installatøren skal være lille, reversibel og dokumenteret godt nok til, at brugeren kan fortryde den.

Rute tre forbliver rimelig for en håndfuld tekniske brugere med et stabilt setup og for enhver, der tester en gateway, før den rulles ud. Under den skala bliver den et ikke-revideret sæt håndskrevne indstillinger, som ingen kan opgøre.

Adskil profilen fra kontoen

En lokal forbindelsesprofil siger, hvordan gatewayen nås. En konto, der er autoriseret ved gatewayen, siger, om den, der ringer, må komme ind. De etableres af forskellige mennesker og tilbagekaldes af forskellige grunde, så behandl aldrig profilen som autorisationen. Certifikater ligger imellem. Et certifikat, der leveres med profilen, autentificerer enheden eller brugeren, og tilbagekaldelse ved gatewayen afslutter adgangen, selv om profilen bliver liggende på disken. Et design med kun adgangskode læner sig i stedet op ad kontoens livscyklus, og derfor skal overdragelsesnotatet sige, hvilken af de to der er i spil.

Beslut også, om klienten er en system-VPN eller en tunnel per app. Et design per app ruter kun udvalgte programmer, og det afhænger af, om klienten understøtter den model på den anvendte macOS-version, så verificér det på en pilotmaskine i stedet for at antage, at indstillingen følger med.

Overdrag uden administratoradgangskode

Brugeren skal starte forbindelsen, logge ind og komme sig efter en adgangskodeændring. Intet af det kræver en administratorkonto, og intet af det begrunder at indlejre legitimationsoplysninger i et script, en Automator-handling eller et installer-efter-trin i en signeret pakke.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

De to første kommandoer er brugerhandlinger, som en helpdesk kan lede nogen igennem. Den tredje læser nylig tunnelaktivitet, når en forbindelse fejler, og det er det artefakt, der skal efterspørges i stedet for et skærmbillede af en fejldialog.

Hvis et trin stadig kræver administratorgodkendelse, er det en leverancefejl: send den præcise prompt tilbage til profilejeren i stedet for at udlevere en konto med mere myndighed, end opgaven har brug for.

Log ind som den almindelige bruger, og skriv derefter udgangen

Log ind med den almindelige konto, opret forbindelse, nå den tilsigtede interne vært, lad Macen sove, væk den, og bekræft genopkobling. Gentag efter en adgangskodeændring, fordi det er der, halvdelen af disse udrulninger faktisk fejler. Skriv gendannelsesvejen ned, før den første bruger får brug for den: hvad man gør, når profilen mangler, når certifikatet er udløbet, og når gatewayen afviser et ellers gyldigt login. Opbevar de tre svar, hvor helpdesken kan finde dem.

Til sidst skal fjernelsen planlægges. En VPN, der ikke kan fjernes fra en fratrædende brugers Mac i én handling, er et fund i en adgangsrevision, der venter på at ske.