Τυπικός χρήστης Mac με διαχειριζόμενο VPN: τι πρέπει να αναλάβει το τμήμα πληροφορικής

Οι τυπικοί λογαριασμοί macOS μπορούν να τρέχουν εταιρικό VPN όλη μέρα, ενώ το τμήμα πληροφορικής κρατά κάθε προνομιακή ενέργεια. Το να φτάσετε εκεί είναι απόφαση παράδοσης, όχι διαφωνία για δικαιώματα: επιλέξτε ποιος εγκαθιστά τον πελάτη, ποιος συντάσσει τη σύνδεση και τι επιτρέπεται να αλλάξει ο χρήστης. Τρεις διαδρομές καλύπτουν σχεδόν κάθε περίπτωση, και καθεμία αποτυγχάνει με διαφορετικό τρόπο. Επιλέξτε τη διαδρομή με βάση την ιδιοκτησία της συσκευής και τον τύπο διαπιστευτηρίου και μετά δοκιμάστε την ως τυπικός χρήστης και όχι ως εσείς.

Τρεις διαδρομές παράδοσης και τι καθορίζει καθεμία

Η πρώτη διαδρομή είναι ένα διαχειριζόμενο προφίλ ρυθμίσεων που το παρέχει το σύστημα διαχείρισης συσκευών του οργανισμού. Το φορτίο VPN μεταφέρει την πύλη, τη μέθοδο ταυτοποίησης, τις διαδρομές και το DNS, και εγκαθίσταται μέσω του καναλιού συσκευής ή χρήστη ανάλογα με το πώς είναι καταχωρισμένο το Mac. Η δεύτερη διαδρομή είναι εγκαταστάτης αυτοεξυπηρέτησης: ο χρήστης εκτελεί ένα εγκεκριμένο πακέτο που τοποθετεί τον πελάτη και συντάσσει τη σύνδεση για λογαριασμό του. Λειτουργεί όταν δεν υπάρχει καταχώριση διαχείρισης, αλλά ο οργανισμός θέλει ακόμη μια επαναλήψιμη και ελέγξιμη διαμόρφωση. Η τρίτη διαδρομή είναι ο χρήστης να δημιουργήσει τη σύνδεση με το χέρι στις Ρυθμίσεις συστήματος, ακολουθώντας δημοσιευμένες τιμές. Είναι η φθηνότερη για να ξεκινήσει και η ακριβότερη για υποστήριξη, γιατί κάθε λάθος στην πλευρά του πελάτη γίνεται κλήση στο γραφείο υποστήριξης και κάθε αλλαγή γίνεται σημείωμα.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Διαβάστε την πρώτη λίστα για να δείτε ποιες συνδέσεις υπάρχουν και ποιος τις κατέχει, και τις άλλες δύο για να δείτε τι εγκαταστάθηκε ως πολιτική. Ένα προφίλ που δεν εμφανίζεται σε καμία λίστα δεν έφτασε, ό,τι κι αν ειπώθηκε στον χρήστη.

Αποφασίστε με βάση την ιδιοκτησία της συσκευής, όχι την αρχαιότητα

Ένα Mac που ανήκει στον οργανισμό δικαιολογεί συνήθως την πρώτη διαδρομή, γιατί το ίδιο κανάλι που παραδίδει το VPN μπορεί να το αφαιρέσει και ο χρήστης δεν μπορεί να επεξεργαστεί ήσυχα τη σύνδεση. Επιλέξτε το κανάλι συσκευής όταν η σήραγγα πρέπει να υπάρχει πριν συνδεθεί οποιοσδήποτε χρήστης, και το κανάλι χρήστη όταν η σύνδεση ανήκει στο πρόσωπο. Ένα προσωπικό Mac με εταιρική υπηρεσία δείχνει συνήθως τη δεύτερη διαδρομή. Ο οργανισμός δεν μπορεί να διαχειριστεί τη συσκευή, οπότε ο εγκαταστάτης πρέπει να είναι μικρός, αναστρέψιμος και τεκμηριωμένος αρκετά ώστε ο χρήστης να μπορεί να τον αναιρέσει.

Η τρίτη διαδρομή παραμένει λογική για μια χούφτα τεχνικούς χρήστες με σταθερή ρύθμιση και για όποιον δοκιμάζει μια πύλη πριν από την ανάπτυξη. Κάτω από αυτή την κλίμακα γίνεται ένα σύνολο ρυθμίσεων γραμμένων στο χέρι χωρίς έλεγχο, που κανείς δεν μπορεί να απογράψει.

Διαχωρίστε το προφίλ από τον λογαριασμό

Ένα τοπικό προφίλ σύνδεσης λέει πώς φτάνει κανείς στην πύλη. Ένας λογαριασμός εξουσιοδοτημένος στην πύλη λέει αν ο καλών μπορεί να μπει. Τα παρέχουν διαφορετικοί άνθρωποι και τα ανακαλούν για διαφορετικούς λόγους, οπότε ποτέ μην αντιμετωπίζετε το προφίλ ως την εξουσιοδότηση. Τα πιστοποιητικά βρίσκονται ανάμεσα. Ένα πιστοποιητικό που παραδίδεται με το προφίλ ταυτοποιεί τη συσκευή ή τον χρήστη, και η ανάκλησή του στην πύλη τερματίζει την πρόσβαση ακόμη κι αν το προφίλ μείνει στον δίσκο. Ένας σχεδιασμός μόνο με κωδικό πρόσβασης στηρίζεται στον κύκλο ζωής του λογαριασμού, γι’ αυτό το σημείωμα παράδοσης πρέπει να λέει ποιο από τα δύο ισχύει.

Αποφασίστε επίσης αν ο πελάτης είναι VPN συστήματος ή σήραγγα ανά εφαρμογή. Ένας σχεδιασμός ανά εφαρμογή δρομολογεί μόνο επιλεγμένες εφαρμογές, και εξαρτάται από το αν ο πελάτης υποστηρίζει αυτό το μοντέλο στην έκδοση macOS που χρησιμοποιείται, οπότε επαληθεύστε το σε μηχάνημα δοκιμής αντί να υποθέσετε ότι η ρύθμιση ταξιδεύει.

Παραδώστε χωρίς κωδικό διαχειριστή

Ο χρήστης πρέπει να ξεκινήσει τη σύνδεση, να συνδεθεί και να ανακάμψει μετά από αλλαγή κωδικού. Κανένα από αυτά δεν απαιτεί λογαριασμό διαχειριστή, και κανένα δεν δικαιολογεί την ενσωμάτωση διαπιστευτηρίων σε σενάριο, ενέργεια Automator ή βήμα μετά την εγκατάσταση υπογεγραμμένου πακέτου.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Οι δύο πρώτες εντολές είναι ενέργειες σε επίπεδο χρήστη τις οποίες το γραφείο υποστήριξης μπορεί να καθοδηγήσει κάποιον. Η τρίτη διαβάζει πρόσφατη δραστηριότητα της σήραγγας όταν μια σύνδεση αποτυγχάνει, και αυτό είναι το τεκμήριο που πρέπει να ζητηθεί αντί για στιγμιότυπο οθόνης ενός παραθύρου σφάλματος.

Αν ένα βήμα εξακολουθεί να απαιτεί έγκριση διαχειριστή, αυτό είναι ελάττωμα παράδοσης: στείλτε το ακριβές αίτημα πίσω στον κάτοχο του προφίλ αντί να δώσετε λογαριασμό με περισσότερη εξουσία από όση χρειάζεται η εργασία.

Συνδεθείτε ως τυπικός χρήστης και μετά γράψτε την έξοδο

Συνδεθείτε με τον τυπικό λογαριασμό, συνδεθείτε στο δίκτυο, φτάστε στον προοριζόμενο εσωτερικό υπολογιστή, αφήστε το Mac να κοιμηθεί, ξυπνήστε το και επιβεβαιώστε την επανασύνδεση. Επαναλάβετε μετά από αλλαγή κωδικού, γιατί εκεί ακριβώς αποτυγχάνει στην πράξη οι μισές από αυτές τις αναπτύξεις. Γράψτε τη διαδρομή ανάκτησης πριν τη χρειαστεί ο πρώτος χρήστης: τι να κάνετε όταν λείπει το προφίλ, όταν έληξε το πιστοποιητικό και όταν η πύλη απορρίπτει μια κατά τα άλλα έγκυρη σύνδεση. Κρατήστε αυτές τις τρεις απαντήσεις εκεί όπου το γραφείο υποστήριξης μπορεί να τις βρει.

Τέλος, σχεδιάστε την αφαίρεση. Ένα VPN που δεν μπορεί να αφαιρεθεί από το Mac ενός χρήστη που φεύγει σε μία ενέργεια είναι εύρημα ελέγχου πρόσβασης που περιμένει να συμβεί.