Tavallinen Mac-käyttäjä ja hallittu VPN: mitä IT:n on omistettava

Tavalliset macOS-tilit voivat käyttää yrityksen VPN:ää koko päivän, kun IT pitää itsellään jokaisen etuoikeutetun toimenpiteen. Sinne pääseminen on toimituspäätös, ei keskustelu oikeuksista: valitse, kuka asentaa asiakasohjelman, kuka kirjoittaa yhteyden ja mitä käyttäjä saa muuttaa. Kolme reittiä kattaa lähes kaikki tapaukset, ja kukin epäonnistuu eri tavalla. Valitse reitti laitteen omistuksen ja tunnistetietotyypin perusteella ja testaa se sitten tavallisena käyttäjänä etkä itsenäsi.

Kolme toimitustapaa ja mitä kukin ratkaisee

Ensimmäinen reitti on hallittu asetusten profiili, jonka organisaation laitehallinta toimittaa. VPN:n hyötykuorma sisältää yhdyskäytävän, todennusmenetelmän, reitit ja DNS:n, ja se asennetaan laite- tai käyttäjäkanavan kautta sen mukaan, miten Mac on rekisteröity. Toinen reitti on itsepalveluasentaja: käyttäjä ajaa hyväksytyn paketin, joka sijoittaa asiakasohjelman ja kirjoittaa yhteyden hänen puolestaan. Se toimii, kun hallintarekisteröintiä ei ole, mutta organisaatio haluaa silti toistettavan ja tarkistettavan kokoonpanon. Kolmas reitti on, että käyttäjä luo yhteyden käsin Järjestelmäasetuksissa julkaistuja arvoja noudattaen. Se on halvin aloittaa ja kallein tukea, koska jokainen asiakaspään virhe muuttuu tukipalvelupuheluksi ja jokainen muutos muistioksi.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Lue ensimmäinen listaus nähdäksesi, mitkä yhteydet ovat olemassa ja kenen ne ovat, ja kaksi muuta nähdäksesi, mitä käytäntönä asennettiin. Profiili, jota ei näy kummassakaan listauksessa, ei saapunut, mitä käyttäjälle on sanottu tahansa.

Päätä laitteen omistuksen, älä virkaiän perusteella

Organisaation omistama Mac perustelee yleensä ensimmäisen reitin, koska sama kanava, joka toimittaa VPN:n, voi poistaa sen, eikä käyttäjä voi muokata yhteyttä hiljaa. Valitse laitekanava, kun tunnelin on oltava olemassa ennen kuin kukaan käyttäjä kirjautuu, ja käyttäjäkanava, kun yhteys kuuluu henkilölle. Henkilökohtaisesti omistettu Mac ja yrityspalvelu osoittavat yleensä toiselle reitille. Organisaatio ei voi hallita laitetta, joten asentajan on oltava pieni, palautettava ja riittävän dokumentoitu, jotta käyttäjä voi kumota sen.

Kolmas reitti pysyy järkevänä kouralliselle teknisiä käyttäjiä vakine asetuksineen ja kaikille, jotka testaavat yhdyskäytävää ennen käyttöönottoa. Tämän mittakaavan alapuolella siitä tulee tarkastamaton joukko käsin kirjoitettuja asetuksia, joita kukaan ei voi inventoida.

Erota profiili tilistä

Paikallinen yhteysprofiili kertoo, miten yhdyskäytävään päästään. Yhdyskäytävässä valtuutettu tili kertoo, saako soittaja tulla sisään. Ne valmistelee eri ihmiset ja peruuttaa eri syistä, joten älä koskaan kohtele profiilia valtuutuksena. Varmenteet ovat niiden välissä. Profiilin mukana toimitettu varmenne todentaa laitteen tai käyttäjän, ja sen peruuttaminen yhdyskäytävässä lopettaa pääsyn, vaikka profiili jäisi levylle. Vain salasanaan perustuva ratkaisu nojaa sen sijaan tilin elinkaareen, minkä vuoksi luovutusmuistiinpanon on sanottava, kumpi kahdesta on pelissä.

Päätä myös, onko asiakasohjelma järjestelmätason VPN vai sovelluskohtainen tunneli. Sovelluskohtainen ratkaisu reitittää vain valitut sovellukset, ja se riippuu siitä, tukeeko asiakasohjelma tätä mallia käytettävässä macOS-versiossa, joten varmista se koekoneella sen sijaan, että olettaisit asetuksen kulkevan mukana.

Luovuta ilman järjestelmänvalvojan salasanaa

Käyttäjän on käynnistettävä yhteys, kirjauduttava sisään ja toivuttava salasanan vaihdosta. Mikään näistä ei vaadi järjestelmänvalvojan tiliä, eikä mikään oikeuta upottamaan tunnistetietoja komentosarjaan, Automator-toimintoon tai allekirjoitetun paketin asennuksen jälkeiseen vaiheeseen.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Kaksi ensimmäistä komentoa ovat käyttäjätason toimintoja, joiden läpi tukipalvelu voi opastaa jotakuta. Kolmas lukee viimeaikaista tunnelitoimintaa, kun yhteys epäonnistuu, ja se on artefakti, joka pitää pyytää virhedialogin kuvakaappauksen sijaan.

Jos jokin vaihe vaatii yhä järjestelmänvalvojan hyväksynnän, se on toimitusvirhe: lähetä täsmällinen kehote takaisin profiilin omistajalle sen sijaan, että jakaisit tilin, jolla on enemmän valtaa kuin tehtävä tarvitsee.

Kirjaudu tavallisena käyttäjänä ja kirjoita sitten poistuminen

Kirjaudu tavallisella tilillä, yhdistä, saavuta aiottu sisäinen isäntä, anna Macin nukkua, herätä se ja vahvista uudelleenyhdistäminen. Toista salasanan vaihdon jälkeen, koska juuri siinä puolet näistä käyttöönotoista todella epäonnistuu. Kirjoita palautumispolku muistiin ennen kuin ensimmäinen käyttäjä tarvitsee sitä: mitä tehdä, kun profiili puuttuu, kun varmenne on vanhentunut ja kun yhdyskäytävä hylkää muuten kelvollisen kirjautumisen. Pidä ne kolme vastausta siellä, mistä tukipalvelu löytää ne.

Suunnittele lopuksi poisto. VPN, jota ei voi poistaa lähtevän käyttäjän Macilta yhdellä toimenpiteellä, on pääsyn tarkastuksen havainto, joka on juuri tapahtumassa.