Mac erabiltzaile arrunta VPN kudeatuarekin: zer hartu behar du IT sailak bere gain

macOS kontu arruntek enpresa VPN bat egun osoan zehar eraman dezakete, IT sailak operazio pribilegiatu guztiak bere esku atxikitzen dituen bitartean. Hara iristea entrega-erabakia da, ez baimenen inguruko eztabaida: aukeratu nor arduratuko den bezeroa instalatzeaz, nor konexioa idazteaz eta zer alda dezakeen erabiltzaileak. Hiru bidek ia kasu guztiak hartzen dituzte, eta bakoitzak modu desberdinean huts egiten du. Aukeratu bidea gailuaren jabetzaren eta kredentzial motaren arabera, eta gero probatu erabiltzaile arrunt gisa, ez zu zeu bezala.

Hiru entrega-bide eta bakoitzak zer argitzen duen

Lehen bidea erakundearen gailu-kudeaketak emandako konfigurazio-profil kudeatua da. VPN kargak atebidea, autentifikazio-metodoa, ibilbideak eta DNS daramatza, eta gailuaren edo erabiltzailearen kanaletik instalatzen da Mac-a nola erregistratuta dagoen arabera. Bigarren bidea autozerbitzuko instalatzailea da: erabiltzaileak onartutako pakete bat exekutatzen du, bezeroa jartzen duena eta konexioa haren ordez idazten duena. Hori kudeaketa-erregistrorik ez dagoenean funtzionatzen du, baina erakundeak oraindik konfigurazio errepikagarri eta berrikusgarria nahi duenean. Hirugarren bidea erabiltzaileak konexioa eskuz sortzea da Sistemaren ezarpenetan, argitaratutako balioei jarraituz. Hasteko merkeena eta mantentzeko garestiena da, bezeroaren aldeko akats bakoitza laguntza-zerbitzurako deia bihurtzen delako eta aldaketa bakoitza ohar bat.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Irakurri lehen zerrenda zein konexio dauden eta norenak diren ikusteko, eta beste biak politika gisa zer instalatu zen ikusteko. Bi zerrendatan agertzen ez den profila ez da iritsi, erabiltzaileari esan zaion edozein dela ere.

Erabaki gailuaren jabetzaren arabera, ez antzinatasunaren arabera

Erakundearen jabetzako Mac batek lehen bidea justifikatzen du normalean, VPN-a ematen duen kanal berak kendu egin baitezake, eta erabiltzaileak ezin baitu konexioa isilpean editatu. Aukeratu gailuaren kanala tunelak edozein erabiltzaile sartu aurretik egon behar duenean, eta erabiltzailearen kanala konexioa pertsonarena denean. Enpresa-zerbitzua duen jabetza pertsonaleko Mac batek bigarren bidea seinalatzen du normalean. Erakundeak ezin du gailua kudeatu, beraz instalatzaileak txikia, itzulgarria eta behar adina dokumentatua izan behar du erabiltzaileak desegin dezan.

Hirugarren bideak zentzuzkoa izaten jarraitzen du konfigurazio egonkorra duten tekniko gutxi batzuentzat, eta atebidea hedatu aurretik probatzen duenarentzat. Maila horretatik behera, inork inbentariatu ezin duen eskuz idatzitako ezarpenen multzo auditatu gabea bihurtzen da.

Bereizi profila kontutik

Tokiko konexio-profil batek atebidera nola iritsi adierazten du. Atebidean baimendutako kontu batek deitzaileak sartzeko baimena duen adierazten du. Pertsona desberdinek hornitzen dituzte eta arrazoi desberdinengatik baliogabetzen dira, beraz ez ezazu inoiz profila baimen gisa hartu. Ziurtagiriak tartean daude. Profilarekin batera emandako ziurtagiri batek gailua edo erabiltzailea autentifikatzen du, eta atebidean baliogabetzeak sarbidea amaitzen du profila diskoan geratzen bada ere. Pasahitzean soilik oinarritutako diseinuak kontuaren bizitza-zikloaren gainean eusten du, eta horregatik entrega-oharrak esan behar du bietako zein den jokoan.

Erabaki ere bezeroa sistema-mailako VPN bat den edo aplikazio bakoitzeko tunel bat den. Aplikazio bakoitzeko diseinuak hautatutako aplikazioak soilik bideratzen ditu, eta bezeroak erabiltzen ari den macOS bertsioan eredu hori onartzen duen ala ez du oinarri, beraz egiaztatu probako makinan ezarpena hedatuko dela suposatu beharrean.

Eman administratzaile-pasahitzik gabe

Erabiltzaileak konexioa abiarazi, saioa hasi eta pasahitza aldatu ondoren berreskuratu behar du. Horietako batek ere ez du administratzaile-konturik behar, eta batek ere ez du justifikatzen kredentzialak script batean, Automator ekintza batean edo sinatutako pakete baten instalazio osteko urratsean txertatzea.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Lehen bi komandoak erabiltzaile-mailako eragiketak dira, laguntza-zerbitzuak norbaiti horietatik gidatzen lagun diezaiokeenak. Hirugarrenak konexio batek huts egiten duenean tunelaren azken jarduera irakurtzen du, eta hori da eskatu beharreko artefaktua, errore-koadro baten pantaila-argazkiaren ordez.

Urrats batek oraindik administratzailearen onespena eskatzen badu, entrega-akatsa da: bidali ohar zehatza profileko jabeari, zereginak behar duen baino autoritate handiagoko kontu bat banatu beharrean.

Hasi saioa erabiltzaile arrunt gisa, eta gero idatzi irteera

Hasi saioa kontu arruntarekin, konektatu, iritsi nahi den barne ostalarira, utzi Mac-a lo, esnatu eta berretsi berriz konektatzea. Errepikatu pasahitza aldatu ondoren, izan ere, erdiak hemen huts egiten du benetan. Idatzi berreskuratze-bidea lehenengo erabiltzaileak behar duen aurretik: zer egin profila falta denean, ziurtagiria iraungi denean eta atebideak bestela baliozkoa den saioa ukatzen duenean. Gorde hiru erantzun horiek laguntza-zerbitzuak aurki ditzakeen lekuan.

Azkenik, planifikatu kentzea. VPN bat, eragiketa bakarrean alde egiten duen erabiltzaile baten Mac-etik kendu egin ezin dena, gertatzear dagoen sarbide-berrikuspeneko aurkikuntza da.