FortiClient unter macOS: verwaltet oder manuell – und was zu erfassen ist

Die Einrichtung von FortiClient beginnt bei dem Dienst, dem Sie beitreten, nicht bei der VPN-Schaltfläche, die zuerst erscheint. Ein verwalteter Firmen-Mac und ein selbst konfigurierter Client können unterschiedliche Installationsprogramme, unterschiedliche Richtlinienverantwortliche und unterschiedliche Registrierungsschritte benötigen. Wer dieses Modell zuerst entscheidet, spart eine Stunde beim Installieren des falschen Pakets.

Entscheiden Sie zuerst über das Verwaltungsmodell

Wählen Sie verwaltet, wenn die Organisation FortiClient EMS betreibt und Verbindungen, Profile und Sicherheitsmodule zentral bereitstellen will. Wählen Sie manuell nur, wenn der Administrator bestätigt, dass die manuelle Konfiguration für Ihr Konto und Gerät zulässig ist. Schreiben Sie die Wahl auf und bewahren Sie sie mit dem Geräteeintrag auf. Eine spätere Änderung ist eine erneute Registrierung, kein Kontrollkästchen.

Die beiden Modelle sind im Nachhinein nicht austauschbar. Ein verwaltetes Profil kann gesperrt werden, und das Entfernen der Verwaltung, um manuelle Steuerelemente freizulegen, ist eine als Fehlersuche getarnte Richtlinienänderung. Wenn ein gesperrtes Profil die benötigte Verbindung blockiert, ist das ein Gespräch mit dem Verantwortlichen, kein lokaler Workaround.

Erfassen Sie den Verbindungsvertrag

Erfassen Sie vor der Installation fünf Angaben: das VPN-Protokoll, den Hostnamen des Gateways, einen etwaigen Nicht-Standard-Port, die Authentifizierungsmethode und die beteiligten Zertifikate oder Token. Bestätigen Sie außerdem, ob EMS die Verbindung bereitstellt oder ob Sie sie von Hand konfigurieren.

Halten Sie Kontologin, eine Client-Zertifikatsidentität und ein Registrierungs-Token getrennt. Sie können im selben Ablauf vorkommen, ohne austauschbare Anmeldedaten zu sein. Fügen Sie keine vollständige Browser-Login-URL in ein Gateway-Feld ein, es sei denn, die Bereitstellungsanweisungen verlangen ausdrücklich dieses Format.

Stimmen Sie das Protokoll auf die Gateway-Version ab

Die Gateway-Software entscheidet, welche Protokolle verfügbar sind, nicht das Client-Menü. Fortinet dokumentiert, dass FortiOS 7.6.3 und später SSL VPN den Tunnelmodus nicht mehr unterstützen, sodass eine ältere SSL-VPN-Anleitung die aktuellen Anweisungen des Administrators nicht ersetzt. Fragen Sie, welchen Modus das Gateway anbietet, bevor Sie ein Protokoll wählen. Notieren Sie den Modus in den Verbindungsnotizen. Die nächste Person wird ihn brauchen.

In einer unterstützten SSL-VPN-Bereitstellung verwendet die dokumentierte Form von FortiClient einen Verbindungsnamen, ein Remote Gateway und einen optionalen benutzerdefinierten Port. IPsec hat eigene Einstellungen, und seine Auswahl ist keine Umwandlung eines SSL-Profils. Das Kopieren von Feldern zwischen beiden erzeugt eine Verbindung, die konfiguriert aussieht und nie zustande kommt.

Installieren, genehmigen, bereitstellen

Führen Sie das genehmigte Installationsprogramm für die vorgesehene Bereitstellung aus und schließen Sie dann die angeforderten macOS-Genehmigungen ab. Prüfen Sie den Herausgeber und die angeforderte Komponente, während Sie die Systemerweiterung und die VPN-Konfiguration genehmigen, denn Berechtigungsbezeichnungen und -orte ändern sich zwischen macOS-Versionen und ein alter Screenshot ist kein Grund, die Startsicherheit zu schwächen.

Wenn der Mac verwaltet wird, lassen Sie die autorisierte Richtlinie die Verbindung bereitstellen und überschreiben Sie sie nicht. Wenn die manuelle Einrichtung zulässig ist, öffnen Sie Remote Access und geben Sie den erfassten Vertrag ein. Verbinden Sie sich dann mit dem bereitgestellten Authentifizierungsablauf, einschließlich eines etwaigen Browser-Single-Sign-on oder zweiten Faktors, und validieren Sie die Serveridentität, statt eine unerwartete Zertifikatswarnung wegzuklicken.

Prüfen Sie die Ressource, nicht das grüne Symbol

Öffnen Sie nach dem Aufbau des Tunnels die autorisierte private Anwendung und bestätigen Sie, dass ihr interner Name wie erwartet aufgelöst wird. Eine Verbunden-Anzeige ist kein Beweis dafür, dass jede Route oder DNS-Domäne bereitgestellt wurde, und erst recht kein Beweis dafür, dass die benötigte Anwendung erreichbar ist.

FortiClient-Verbindungshandbuch ist versioniert, lesen Sie also die Ausgabe, die zum installierten Paket passt. Wenn die Einrichtung fehlschlägt, melden Sie den Client-Build, die macOS-Version, die Profilidentität, den Zeitpunkt und den ersten aussagekräftigen Fehler und halten Sie exportierte Geheimnisse und private Schlüssel aus dem Bericht heraus.

Eine erfolgreiche Einrichtung bedeutet, dass der genehmigte Client, der Richtlinienverantwortliche, die Authentifizierungsmethode und der Ressourcenpfad alle übereinstimmen. Es bedeutet nicht, dass jeder Mac jedes Sicherheitsmodul braucht oder dass jede Berechtigungsabfrage ungelesen akzeptiert werden sollte.