FortiClient sous macOS : géré ou manuel, et quoi recueillir

L’installation de FortiClient commence par le service auquel vous vous rattachez, et non par le bouton VPN qui apparaît en premier. Un Mac d’entreprise géré et un client configuré personnellement peuvent nécessiter des installateurs différents, des propriétaires de stratégie différents et des étapes d’enrôlement différentes. Décider ce modèle d’abord fait gagner une heure d’installation du mauvais paquet.

Décidez d’abord le modèle de propriété

Choisissez géré lorsque l’organisation exploite FortiClient EMS et attend un approvisionnement central des connexions, des profils et des modules de sécurité. Ne choisissez manuel que lorsque l’administrateur confirme que la configuration manuelle est autorisée pour votre compte et votre appareil. Notez le choix et conservez-le avec la fiche de l’appareil. Le changer plus tard est un réenrôlement, pas une case à cocher.

Les deux modèles ne sont pas interchangeables après coup. Un profil géré peut être verrouillé, et retirer la gestion pour exposer des contrôles manuels est un changement de stratégie déguisé en dépannage. Si un profil verrouillé bloque la connexion dont vous avez besoin, c’est une conversation avec le propriétaire, pas un contournement local.

Recueillez le contrat de connexion

Avant l’installation, recueillez cinq éléments : le protocole VPN, le nom d’hôte de la passerelle, tout port non standard, la méthode d’authentification et les certificats ou jetons concernés. Confirmez aussi si EMS approvisionne la connexion ou si vous la configurez à la main.

Gardez séparés l’identifiant de compte, l’identité de certificat client et le jeton d’enrôlement. Ils peuvent apparaître dans le même flux sans être des identifiants interchangeables. Ne collez pas une URL de connexion de navigateur complète dans un champ de passerelle, sauf si les instructions de déploiement demandent explicitement ce format.

Faites correspondre le protocole à la version de la passerelle

Le logiciel de la passerelle décide des protocoles disponibles, pas le menu du client. Fortinet documente que FortiOS 7.6.3 et versions ultérieures ne prennent plus en charge SSL VPN le mode tunnel, donc un ancien guide SSL-VPN ne remplace pas les instructions actuelles de l’administrateur. Demandez quel mode la passerelle sert avant de choisir un protocole. Notez le mode dans les notes de connexion. La personne suivante en aura besoin.

Dans un déploiement SSL-VPN pris en charge, la forme documentée de FortiClient utilise un nom de connexion, une Remote Gateway et un port personnalisé facultatif. IPsec a ses propres réglages, et le sélectionner n’est pas une conversion d’un profil SSL. Copier des champs entre les deux produit une connexion qui semble configurée et ne se termine jamais.

Installez, approuvez, approvisionnez

Exécutez l’installateur approuvé pour le déploiement prévu, puis effectuez les approbations macOS qu’il demande. Vérifiez l’éditeur et le composant demandé pendant que vous approuvez l’extension système et la configuration VPN, car les libellés et emplacements des autorisations changent entre les versions de macOS et une ancienne capture d’écran n’est pas une raison d’affaiblir la sécurité de démarrage.

Si le Mac est géré, laissez la stratégie autorisée fournir la connexion et ne l’écrasez pas. Si la configuration manuelle est autorisée, ouvrez Remote Access et saisissez le contrat recueilli. Connectez-vous ensuite avec le flux d’authentification fourni, y compris toute connexion unique par navigateur ou second facteur, et validez l’identité du serveur au lieu de cliquer sur un avertissement de certificat inattendu.

Vérifiez la ressource, pas l’icône verte

Une fois le tunnel monté, ouvrez l’application privée autorisée et confirmez que son nom interne se résout comme prévu. Un indicateur de connexion ne prouve pas que chaque route ou domaine DNS a été approvisionné, et certainement pas que l’application dont vous avez besoin est joignable.

Le guide de connexion FortiClient est versionné, alors lisez l’édition qui correspond au paquet installé. Si la configuration échoue, signalez la build du client, la version de macOS, l’identité du profil, l’heure et la première erreur significative, et gardez les secrets exportés et les clés privées hors du rapport.

Une configuration réussie signifie que le client approuvé, le propriétaire de la stratégie, la méthode d’authentification et le chemin de la ressource concordent. Cela ne signifie pas que chaque Mac a besoin de chaque module de sécurité, ni que chaque demande d’autorisation doit être acceptée sans être lue.