FortiClient sur macOS: administrata aŭ permana, kaj kion kolekti
Decidu inter administrata kaj permana antaŭ ol instali, poste kolektu la protokolon, enirejon, pordon kaj identecon, kiujn la enirejo atendas. Nur hostnomo ne sufiĉas.
La agordo de FortiClient komenciĝas per la servo, al kiu vi aliĝas, ne per la VPN-butono, kiu aperas unue. Administrata kompania Mac kaj persone agordita kliento povas bezoni malsamajn instalilojn, malsamajn posedantojn de politikoj kaj malsamajn aliĝpaŝojn. Decidi tiun modelon unue ŝparas horon da instalado de la malĝusta pako.
Unue decidu la posedan modelon
Elektu administrata, kiam la organizo funkciigas FortiClient EMS kaj atendas provizi konektojn, profilojn kaj sekurecmodulojn centre. Elektu permana nur kiam la administranto konfirmas, ke permana agordo permesatas por via konto kaj aparato. Skribu la elekton kaj konservu ĝin kun la aparata registro. Ŝanĝi ĝin poste estas re-aliĝo, ne markobutono.
La du modeloj ne estas interŝanĝeblaj poste. Administrata profilo povas esti ŝlosita, kaj forigi administradon por montri permanajn kontrolojn estas politika ŝanĝo kaŝita kiel problemolvendado. Se ŝlosita profilo blokas la konekton, kiun vi bezonas, tio estas konversacio kun la posedanto, ne loka ĉirkaŭvojo.
Kolektu la konektan kontrakton
Antaŭ instalado, kolektu kvin enigojn: la VPN-protokolo, la hostnomo de la enirejo, iu ne-defaŭlta pordo, la aŭtentiga metodo kaj la koncernaj atestiloj aŭ ĵetonoj. Ankaŭ konfirmu, ĉu EMS provizas la konekton aŭ ĉu vi agordas ĝin permane.
Tenu aparte kontan ensaluton, klientatestilan identecon kaj aliĝan ĵetonon. Ili povas aperi en la sama laborfluo sen esti interŝanĝeblaj legitimiloj. Ne algluu plenan retumilan ensalutan URL-on en enirejan kampon, krom se la disfaldaj instrukcioj eksplicite postulas tiun formaton.
Agordigu la protokolon al la enireja eldono
La enireja programaro decidas, kiuj protokoloj disponeblas, ne la klienta menuo. Fortinet dokumentas, ke FortiOS 7.6.3 kaj postaj jam ne subtenas SSL VPN tunelan reĝimon, do malnova SSL-VPN-gvidilo ne anstataŭas la aktualajn instrukciojn de la administranto. Demandu, kiun reĝimon la enirejo servas, antaŭ ol elekti protokolon. Notu la reĝimon en la konektaj notoj. La sekva persono bezonos ĝin.
En subtenata SSL-VPN-disfaldo, la dokumentita formo de FortiClient uzas konektan nomon, Remote Gateway kaj laŭvolan agorditan pordon. IPsec havas proprajn agordojn, kaj elekti ĝin ne estas konverto de SSL-profilo. Kopii kampojn inter la du kreas konekton, kiu aspektas agordita kaj neniam kompletiĝas.
Instalu, aprobu, provizu
Rulu la aprobitan instalilon por la celata disfaldo, poste plenumu la macOS-aprobojn, kiujn ĝi petas. Kontrolu la eldoniston kaj la petatan komponanton dum vi aprobas la sistemampleksaĵon kaj la VPN-agordon, ĉar permesaj etikedoj kaj lokoj ŝanĝiĝas inter macOS-eldonoj kaj malnova ekrankopio ne estas kialo malfortigi startan sekurecon.
Se la Mac estas administrata, lasu la rajtigitan politikon provizi la konekton kaj ne anstataŭigu ĝin. Se permana agordo permesatas, malfermu Remote Access kaj enigu la kontrakton, kiun vi kolektis. Poste konektiĝu per la provizita aŭtentiga fluo, inkluzive de iu retumila ununura ensaluto aŭ dua faktoro, kaj validigu la servilan identecon anstataŭ klaki tra neatendita atestila averto.
Kontrolu la rimedon, ne la verdan ikonon
Post kiam la tunelo supreniĝos, malfermu la rajtigitan privatan aplikaĵon kaj konfirmu, ke ĝia interna nomo solviĝas kiel atendite. Konektita indikilo ne pruvas, ke ĉiu vojo aŭ DNS-domajno estis provizita, kaj certe ne pruvas, ke la aplikaĵo, kiun vi bezonas, atingeblas.
La konekta gvidilo de FortiClient estas versiigita, do legu la eldonon, kiu kongruas kun la instalita pako. Se la agordo malsukcesas, raportu la klientan build-on, la macOS-version, la profilan identecon, la tempon kaj la unuan signifan eraron, kaj tenu eksportitajn sekretojn kaj privatajn ŝlosilojn ekster la raporto.
Sukcesa agordo signifas, ke la aprobita kliento, la posedanto de la politiko, la aŭtentiga metodo kaj la rimeda vojo ĉiuj kongruas. Ĝi ne signifas, ke ĉiu Mac bezonas ĉiun sekurecmodulon, aŭ ke ĉiu permespeto akceptiĝu sen legi ĝin.