Norma Mac-uzanto kun administrata VPN: kion la IT-fako devas regi

Normaj macOS-kontoj povas funkciigi kompanian VPN la tutan tagon, dum la IT-fako retenas ĉiun privilegian operacion. Alveni tien estas livera decido, ne diskuto pri permesoj: elektu, kiu instalas la klienton, kiu kreas la konekton kaj kion la uzanto rajtas ŝanĝi. Tri vojoj kovras preskaŭ ĉiun kazon, kaj ĉiu malsukcesas malsame. Elektu la vojon laŭ posedo de la aparato kaj tipo de akreditaĵo, poste testu ĝin kiel norma uzanto anstataŭ kiel vi mem.

Tri liveraj vojoj kaj kion ĉiu solvas

La unua vojo estas administrata agorda profilo, kiun liveras la aparat-administra sistemo de la organizo. La VPN-ŝarĝo portas la enirejon, la aŭtentigan metodon, la vojojn kaj DNS, kaj ĝi instaliĝas per la aparata aŭ uzanta kanalo laŭ tio, kiel la Mac estas registrita. La dua vojo estas memserva instalilo: la uzanto ruligas aprobitan pakaĵon, kiu metas la klienton kaj skribas la konekton por li. Ĝi funkcias, kiam mankas administra registriĝo, sed la organizo ankoraŭ volas ripeteblan kaj revideblan agordon. La tria vojo estas, ke la uzanto permane kreas la konekton en Sistemaj agordoj, sekvante publikigitajn valorojn. Ĝi estas la plej malmultekosta por komenci kaj la plej multekosta por subteni, ĉar ĉiu eraro ĉe la klienta flanko fariĝas voko al la subtena helpĉeno kaj ĉiu ŝanĝo fariĝas noto.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Legu la unuan liston por vidi, kiuj konektoj ekzistas kaj kiu posedas ilin, kaj la du aliajn por vidi, kio instaliĝis kiel politiko. Profilo, kiu aperas en neniu listo, ne alvenis, kion ajn oni diris al la uzanto.

Decidu laŭ posedo de la aparato, ne laŭ hierarkio

Mac posedata de la organizo kutime pravigas la unuan vojon, ĉar la sama kanalo, kiu liveras la VPN, povas ĝin forigi, kaj la uzanto ne povas silente redakti la konekton. Elektu la aparatan kanalon, kiam la tunelo devas ekzisti antaŭ ol ensalutas iu uzanto, kaj la uzantan kanalon, kiam la konekto apartenas al la persono. Persone posedata Mac kun kompania servo kutime montras al la dua vojo. La organizo ne povas administri la aparaton, do la instalilo devas esti malgranda, malfarebla kaj sufiĉe dokumentita, ke la uzanto povu malfari ĝin.

La tria vojo restas racia por manpleno da teknikaj uzantoj kun stabila agordo, kaj por iu ajn, kiu testas enirejon antaŭ ol ĝi estas lanĉita. Sub tiu skalo ĝi fariĝas neaŭditita aro de permane tajpitaj agordoj, kiun neniu povas inventari.

Apartigu la profilon de la konto

Loka konekta profilo diras, kiel atingi la enirejon. Konto rajtigita ĉe la enirejo diras, ĉu la alvokanto rajtas eniri. Ilin provizas malsamaj homoj kaj ili estas revokataj pro malsamaj kialoj, do neniam traktu la profilon kiel la rajtigon. Atestiloj staras intere. Atestilo liverita kun la profilo aŭtentigas la aparaton aŭ la uzanton, kaj revoko ĉe la enirejo finas la aliron eĉ se la profilo restas sur la disko. Dezajno nur per pasvorto apogiĝas anstataŭe sur la vivociklo de la konto, do la transdona noto devas diri, kiu el la du estas en ludo.

Decidu ankaŭ, ĉu la kliento estas sistema VPN aŭ tunelo por unuopa aplikaĵo. Dezajno por unuopa aplikaĵo enkursigas nur elektitajn aplikaĵojn, kaj ĝi dependas de tio, ĉu la kliento subtenas tiun modelon en la uzata macOS-versio, do kontrolu ĝin sur provmaŝino anstataŭ supozi, ke la agordo vojaĝas.

Transdonu sen administra pasvorto

La uzanto devas komenci la konekton, ensaluti kaj rekreski post pasvorta ŝanĝo. Neniu el tiuj postulas administran konton, kaj neniu pravigas enigi akreditaĵojn en skripton, Automator-agon aŭ postinstalan paŝon de subskribita pakaĵo.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

La unuaj du komandoj estas operacioj je uzanta nivelo, tra kiuj helpĉeno povas gvidi iun. La tria legas lastatempan tunelan aktivecon, kiam konekto malsukcesas, kaj tio estas la artefakto petenda anstataŭ ekrankopio de erara dialogo.

Se iu paŝo ankoraŭ postulas administran aprobon, tio estas livera difekto: resendu la precizan peton al la posedanto de la profilo anstataŭ doni konton kun pli da aŭtoritato ol la tasko bezonas.

Ensalutu kiel norma uzanto, poste skribu la eliron

Ensalutu per la norma konto, konektiĝu, atingi la celitan internan gastiganton, lasu la Mac dormi, veku ĝin kaj konfirmu rekonekton. Ripetu post pasvorta ŝanĝo, ĉar ĝuste tie duono de tiuj deplojoj efektive malsukcesas. Skribu la reakiran vojon antaŭ ol la unua uzanto bezonas ĝin: kion fari, kiam la profilo mankas, kiam la atestilo eksvalidiĝis kaj kiam la enirejo malakceptas alie validan ensaluton. Tenu tiujn tri respondojn tie, kie la helpĉeno povas trovi ilin.

Finfine, planu la forigon. VPN, kiun oni ne povas forigi de la Mac de foriranta uzanto per unu operacio, estas trovo de alirkontrolo, kiu baldaŭ okazos.