کاربر عادی Mac با VPN مدیریت‌شده: بخش فناوری اطلاعات چه چیزی را باید بر عهده بگیرد

حساب‌های عادی macOS می‌توانند تمام روز یک VPN شرکتی را اجرا کنند، در حالی که بخش فناوری اطلاعات هر عملیات ممتاز را در اختیار خود نگه می‌دارد. رسیدن به این نقطه یک تصمیم تحویل است، نه بحثی درباره مجوزها: انتخاب کنید چه کسی کارخواه را نصب می‌کند، چه کسی اتصال را می‌نویسد و کاربر اجازه تغییر چه چیزی را دارد. سه مسیر تقریباً همه حالت‌ها را پوشش می‌دهند و هر کدام به شکلی متفاوت شکست می‌خورند. مسیر را بر اساس مالکیت دستگاه و نوع اعتبارنامه انتخاب کنید و سپس آن را به‌عنوان کاربر عادی بیازمایید، نه به‌عنوان خودتان.

سه مسیر تحویل و اینکه هر کدام چه چیزی را روشن می‌کند

مسیر نخست یک نمایه پیکربندی مدیریت‌شده است که سامانه مدیریت دستگاه سازمان آن را تحویل می‌دهد. بار VPN دروازه، روش احراز هویت، مسیرها و DNS را حمل می‌کند و بسته به اینکه Mac چگونه ثبت شده باشد، از کانال دستگاه یا کاربر نصب می‌شود. مسیر دوم نصب‌کننده خودخدمت است: کاربر بسته‌ای تأییدشده را اجرا می‌کند که کارخواه را قرار می‌دهد و اتصال را به‌جای او می‌نویسد. این زمانی کار می‌کند که ثبت مدیریتی وجود ندارد، اما سازمان هنوز پیکربندی تکرارپذیر و قابل بازبینی می‌خواهد. مسیر سوم این است که کاربر اتصال را دستی در تنظیمات سیستم و بر پایه مقادیر منتشرشده بسازد. این مسیر برای شروع ارزان‌ترین و برای پشتیبانی گران‌ترین است، زیرا هر خطای سمت کارخواه به تماسی با میز پشتیبانی و هر تغییر به یک یادداشت تبدیل می‌شود.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

فهرست نخست را بخوانید تا ببینید چه اتصال‌هایی وجود دارند و مالک آن‌ها کیست، و دو فهرست دیگر را بخوانید تا ببینید چه چیزی به‌عنوان سیاست نصب شده است. نمایه‌ای که در هیچ‌یک از فهرست‌ها دیده نمی‌شود نرسیده است، هر چه به کاربر گفته شده باشد.

بر اساس مالکیت دستگاه تصمیم بگیرید، نه بر اساس سابقه

یک Mac متعلق به سازمان معمولاً مسیر نخست را توجیه می‌کند، زیرا همان کانالی که VPN را تحویل می‌دهد می‌تواند آن را حذف کند و کاربر نمی‌تواند اتصال را بی‌صدا ویرایش کند. وقتی تونل باید پیش از ورود هر کاربری وجود داشته باشد کانال دستگاه را انتخاب کنید و وقتی اتصال به شخص تعلق دارد کانال کاربر را. یک Mac شخصی با سرویس شرکتی معمولاً به مسیر دوم اشاره می‌کند. سازمان نمی‌تواند دستگاه را مدیریت کند، بنابراین نصب‌کننده باید کوچک، برگشت‌پذیر و به‌اندازه کافی مستند باشد تا کاربر بتواند آن را خنثی کند.

مسیر سوم برای چند کاربر فنی با تنظیمات پایدار و برای هر کسی که دروازه‌ای را پیش از استقرار می‌آزماید معقول می‌ماند. زیر این مقیاس به مجموعه‌ای حساب‌نشده از تنظیمات دست‌نویس تبدیل می‌شود که هیچ‌کس نمی‌تواند فهرست‌برداری کند.

نمایه را از حساب جدا کنید

نمایه اتصال محلی می‌گوید چگونه به دروازه برسیم. حسابی که در دروازه مجاز شده است می‌گوید آیا تماس‌گیرنده می‌تواند وارد شود. این دو را افراد متفاوتی فراهم می‌کنند و به دلایل متفاوتی لغو می‌شوند، پس هرگز نمایه را به‌جای مجوز نگیرید. گواهی‌ها میان این دو قرار دارند. گواهی‌ای که همراه نمایه تحویل می‌شود دستگاه یا کاربر را احراز هویت می‌کند و لغو آن در دروازه دسترسی را پایان می‌دهد، حتی اگر نمایه روی دیسک بماند. طراحی فقط مبتنی بر گذرواژه به‌جای آن بر چرخه عمر حساب تکیه می‌کند و به همین دلیل یادداشت تحویل باید بگوید کدام یک از این دو در جریان است.

همچنین تصمیم بگیرید که کارخواه یک VPN سیستمی است یا تونلی برای هر برنامه. طراحی برای هر برنامه تنها برنامه‌های انتخاب‌شده را مسیردهی می‌کند و به این بستگی دارد که کارخواه این مدل را در نسخه macOS مورد استفاده پشتیبانی کند، پس آن را روی یک ماشین آزمایشی بررسی کنید نه اینکه فرض کنید تنظیم همراه می‌آید.

بدون گذرواژه مدیر تحویل دهید

کاربر باید اتصال را آغاز کند، وارد شود و پس از تغییر گذرواژه بازیابی شود. هیچ‌یک از این‌ها به حساب مدیر نیاز ندارد و هیچ‌کدام توجیه نمی‌کند که اعتبارنامه‌ها در یک اسکریپت، یک کنش Automator یا مرحله پس از نصب یک بسته امضاشده جای بگیرند.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

دو فرمان نخست عملیات سطح کاربر هستند که میز پشتیبانی می‌تواند کسی را از میان آن‌ها راهنمایی کند. فرمان سوم فعالیت اخیر تونل را هنگام شکست اتصال می‌خواند و همین سند است که باید درخواست شود، نه تصویر صفحه از یک کادر خطا.

اگر مرحله‌ای هنوز تأیید مدیر می‌خواهد، این نقص تحویل است: درخواست دقیق را به مالک نمایه بازگردانید، نه اینکه حسابی با اختیار بیش از نیاز کار تحویل دهید.

به‌عنوان کاربر عادی وارد شوید و سپس مسیر خروج را بنویسید

با حساب عادی وارد شوید، متصل شوید، به میزبان داخلی مورد نظر برسید، بگذارید Mac بخوابد، بیدارش کنید و اتصال دوباره را تأیید کنید. پس از تغییر گذرواژه این را تکرار کنید، زیرا دقیقاً همان‌جاست که نیمی از این استقرارها در واقع شکست می‌خورند. مسیر بازیابی را پیش از آنکه نخستین کاربر به آن نیاز پیدا کند بنویسید: چه کاری هنگام نبود نمایه، هنگام انقضای گواهی و هنگام رد ورود در غیر این صورت معتبر توسط دروازه انجام دهید. این سه پاسخ را جایی نگه دارید که میز پشتیبانی بتواند پیدا کند.

سرانجام، حذف را برنامه‌ریزی کنید. VPNی که نمی‌توان آن را در یک عملیات از Mac کاربری که می‌رود برداشت، یافته‌ای در بازبینی دسترسی است که در شرف رخ دادن است.