Standard-Mac-Benutzer mit verwaltetem VPN: Was die IT verantworten muss

Standard-macOS-Konten können den ganzen Tag ein Firmen-VPN betreiben, während die IT jeden privilegierten Vorgang behält. Dorthin zu kommen ist eine Bereitstellungsentscheidung, keine Rechtefrage: Legen Sie fest, wer den Client installiert, wer die Verbindung erstellt und was der Benutzer ändern darf. Drei Wege decken fast jeden Fall ab, und sie scheitern auf unterschiedliche Weise. Wählen Sie den Weg nach Geräteeigentum und Art der Anmeldedaten und testen Sie ihn dann als Standardbenutzer statt als Sie selbst.

Drei Bereitstellungswege und was jeder klärt

Weg eins ist ein verwaltetes Konfigurationsprofil, das die Geräteverwaltung der Organisation bereitstellt. Die VPN-Nutzlast enthält das Gateway, die Authentifizierungsmethode, Routen und DNS, und sie wird je nach Registrierung des Macs über den Geräte- oder den Benutzerkanal installiert. Weg zwei ist ein Self-Service-Installer: Der Benutzer führt ein freigegebenes Paket aus, das den Client platziert und die Verbindung für ihn schreibt. Das funktioniert, wenn keine Verwaltungsregistrierung besteht, die Organisation aber dennoch eine wiederholbare, überprüfbare Konfiguration will. Weg drei ist, dass der Benutzer die Verbindung in den Systemeinstellungen von Hand nach veröffentlichten Werten anlegt. Er ist am günstigsten zu beginnen und am teuersten zu unterstützen, weil jeder Fehler auf Clientseite zu einem Anruf beim Helpdesk und jede Änderung zu einem Merkblatt wird.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Lesen Sie die erste Auflistung, um zu sehen, welche Verbindungen existieren und wem sie gehören, und die beiden anderen, um zu sehen, was als Richtlinie installiert wurde. Ein Profil, das in keiner der Auflistungen erscheint, ist nicht angekommen, egal was dem Benutzer gesagt wurde.

Entscheiden Sie nach Geräteeigentum, nicht nach Rang

Ein Mac im Eigentum der Organisation rechtfertigt normalerweise Weg eins, weil derselbe Kanal, der das VPN bereitstellt, es auch entfernen kann und der Benutzer die Verbindung nicht still bearbeiten kann. Wählen Sie den Gerätekanal, wenn der Tunnel bestehen muss, bevor sich ein Benutzer anmeldet, und den Benutzerkanal, wenn die Verbindung zur Person gehört. Ein privat eigener Mac mit einem Firmendienst deutet normalerweise auf Weg zwei. Die Organisation kann das Gerät nicht verwalten, also muss der Installer klein, umkehrbar und so gut dokumentiert sein, dass der Benutzer ihn rückgängig machen kann.

Weg drei bleibt vernünftig für eine Handvoll technischer Benutzer mit stabilem Setup und für alle, die ein Gateway vor der Einführung testen. Unterhalb dieses Umfangs wird er zu einer ungeprüften Sammlung handgetippter Einstellungen, die niemand inventarisieren kann.

Trennen Sie das Profil vom Konto

Ein lokales Verbindungsprofil sagt, wie das Gateway erreicht wird. Ein am Gateway autorisiertes Konto sagt, ob der Anrufer eintreten darf. Beide werden von verschiedenen Personen bereitgestellt und aus verschiedenen Gründen widerrufen, also behandeln Sie das Profil niemals als die Autorisierung. Zertifikate liegen dazwischen. Ein mit dem Profil geliefertes Zertifikat authentifiziert das Gerät oder den Benutzer, und der Widerruf am Gateway beendet den Zugang, selbst wenn das Profil auf der Festplatte bleibt. Ein reines Passwortdesign stützt sich stattdessen auf den Kontolebenszyklus, weshalb die Übergabenotiz sagen muss, welches der beiden im Spiel ist.

Entscheiden Sie auch, ob der Client ein System-VPN oder ein Tunnel pro App ist. Ein Design pro App leitet nur ausgewählte Anwendungen weiter, und es hängt davon ab, ob der Client dieses Modell auf der verwendeten macOS-Version unterstützt, also prüfen Sie es auf einem Pilotrechner, statt anzunehmen, dass die Einstellung mitwandert.

Übergeben Sie ohne Administratorkennwort

Der Benutzer muss die Verbindung starten, sich anmelden und sich nach einer Passwortänderung erholen. Nichts davon erfordert ein Administratorkonto, und nichts davon rechtfertigt das Einbetten von Anmeldedaten in ein Skript, eine Automator-Aktion oder einen Postinstall-Schritt eines signierten Pakets.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Die ersten beiden Befehle sind Vorgänge auf Benutzerebene, durch die ein Helpdesk jemanden führen kann. Der dritte liest aktuelle Tunnelaktivität, wenn eine Verbindung fehlschlägt, und das ist das Artefakt, das anzufordern ist, statt eines Screenshots eines Fehlerdialogs.

Wenn ein Schritt noch immer eine Administratorfreigabe verlangt, ist das ein Bereitstellungsfehler: Schicken Sie die genaue Abfrage an den Profileigentümer zurück, statt ein Konto mit mehr Befugnis auszugeben, als die Aufgabe braucht.

Melden Sie sich als Standardbenutzer an und beschreiben Sie dann den Ausstieg

Melden Sie sich mit dem Standardkonto an, verbinden Sie sich, erreichen Sie den vorgesehenen internen Host, lassen Sie den Mac schlafen, wecken Sie ihn und bestätigen Sie die Wiederverbindung. Wiederholen Sie das nach einer Passwortänderung, denn genau dort scheitert die Hälfte dieser Einführungen tatsächlich. Schreiben Sie den Wiederherstellungsweg auf, bevor der erste Benutzer ihn braucht: was zu tun ist, wenn das Profil fehlt, wenn das Zertifikat abgelaufen ist und wenn das Gateway eine sonst gültige Anmeldung ablehnt. Bewahren Sie diese drei Antworten dort auf, wo der Helpdesk sie findet.

Planen Sie schließlich die Entfernung. Ein VPN, das sich nicht in einem Vorgang vom Mac eines ausscheidenden Benutzers entfernen lässt, ist ein Befund einer Zugriffsprüfung, der darauf wartet zu passieren.