Tavaline Maci kasutaja hallatava VPN-iga: mida peab IT enda kanda võtma

Tavalised macOS-i kontod saavad kogu päeva ettevõtte VPN-i käitada, samal ajal kui IT hoiab endale iga privileegse toimingu. Sinna jõudmine on tarneotsus, mitte õiguste vaidlus: valige, kes paigaldab kliendi, kes koostab ühenduse ja mida kasutajal on lubatud muuta. Kolm teed katavad peaaegu kõik juhtumid ja igaüks ebaõnnestub erineval viisil. Valige tee seadme omandi ja mandaadi tüübi järgi, seejärel katsetage seda tavalise kasutajana, mitte iseendana.

Kolm tarneteed ja mida igaüks otsustab

Esimene tee on hallatav konfiguratsiooniprofiil, mille edastab organisatsiooni seadmehaldussüsteem. VPN-i kasulik koormus sisaldab lüüsi, autentimismeetodit, marsruute ja DNS-i ning see paigaldatakse seadme või kasutaja kanali kaudu, sõltuvalt sellest, kuidas Mac on registreeritud. Teine tee on iseteeninduslik paigaldaja: kasutaja käivitab kinnitatud paketi, mis paigutab kliendi ja kirjutab ühenduse tema eest. See töötab siis, kui haldusregistreeringut pole, kuid organisatsioon soovib siiski korratavat ja ülevaatavat konfiguratsiooni. Kolmas tee on see, et kasutaja loob ühenduse käsitsi Süsteemi seadetes, järgides avaldatud väärtusi. See on alustamiseks kõige odavam ja toetamiseks kõige kallim, sest iga viga kliendi poolel muutub kõneks tugiteenindusse ja iga muudatus märgukirjaks.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Lugege esimest loendit, et näha, millised ühendused on olemas ja kellele need kuuluvad, ning kahte ülejäänut, et näha, mida poliitikana paigaldati. Profiil, mida kummaski loendis pole, ei jõudnud kohale, ükskõik mida kasutajale öeldi.

Otsustage seadme omandi, mitte ametiaja järgi

Organisatsioonile kuuluv Mac õigustab tavaliselt esimest teed, sest sama kanal, mis VPN-i edastab, saab selle ka eemaldada, ja kasutaja ei saa ühendust vaikselt muuta. Valige seadmekanal, kui tunnel peab olema olemas enne, kui ükski kasutaja sisse logib, ja kasutajakanal, kui ühendus kuulub inimesele. Isiklik Mac koos ettevõtte teenusega viitab tavaliselt teisele teele. Organisatsioon ei saa seadet hallata, seega peab paigaldaja olema väike, pööratav ja piisavalt dokumenteeritud, et kasutaja saaks selle tühistada.

Kolmas tee jääb mõistlikuks rusikaviisi tehniliste kasutajate jaoks, kellel on stabiilne seadistus, ja igaühe jaoks, kes katsetab lüüsi enne kasutuselevõttu. Alla selle mastaabi muutub see auditeerimata käsitsi trükitud seadistuste kogumiks, mida keegi ei suuda inventeerida.

Eraldage profiil kontost

Kohalik ühenduseprofiil ütleb, kuidas lüüsile jõuda. Lüüsis volitatud konto ütleb, kas helistaja tohib sisse tulla. Neid hangivad erinevad inimesed ja need tühistatakse erinevatel põhjustel, seega ärge kunagi käsitlege profiili volitusena. Sertifikaadid asuvad vahepeal. Profiiliga edastatud sertifikaat autendib seadet või kasutajat, ja selle tühistamine lüüsis lõpetab juurdepääsu isegi siis, kui profiil jääb kettale. Ainult paroolil põhinev lahendus toetub hoopis konto elutsüklile, mistõttu peab üleandmise märge ütlema, kumb kahest mängus on.

Otsustage ka, kas klient on süsteemne VPN või rakendusepõhine tunnel. Rakendusepõhine lahendus suunab ainult valitud rakendusi ja sõltub sellest, kas klient toetab seda mudelit kasutatavas macOS-i versioonis, seega kontrollige seda pilootmasinas, selle asemel et eeldada, et seadistus rändab.

Andke üle ilma administraatori paroolita

Kasutaja peab ühenduse käivitama, sisse logima ja parooli muutmise järel taastuma. Miski sellest ei nõua administraatorikontot ja miski ei õigusta mandaatide manustamist skripti, Automatori toimingusse või allkirjastatud paketi paigaldusjärgsesse sammu.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Esimesed kaks käsku on kasutajatasandi toimingud, mille kaudu tugiteenindus saab kedagi juhendada. Kolmas loeb hiljutist tunneli aktiivsust, kui ühendus ebaõnnestub, ja see on artefakt, mida tuleks küsida veadialoogi ekraanipildi asemel.

Kui mõni samm nõuab endiselt administraatori kinnitust, on see tarne defekt: saatke täpne viip profiili omanikule tagasi, selle asemel et jagada kontot, millel on rohkem volitusi, kui ülesanne vajab.

Logige sisse tavalise kasutajana ja kirjutage siis väljumine

Logige sisse tavalise kontoga, ühenduge, jõudke kavandatud sisemise hostini, laske Macil magada, äratage see ja kinnitage taasühendus. Korrake pärast parooli muutmist, sest just seal ebaõnnestub tegelikult pool neist juurutustest. Kirjutage taastetee üles enne, kui esimene kasutaja seda vajab: mida teha, kui profiil puudub, kui sertifikaat on aegunud ja kui lüüs lükkab tagasi muidu kehtiva sisselogimise. Hoidke neid kolme vastust seal, kust tugiteenindus need leiab.

Lõpuks planeerige eemaldamine. VPN, mida ei saa lahkuva kasutaja Macist eemaldada ühe toiminguga, on juurdepääsu ülevaatuse leid, mis on kohe juhtumas.