Standert Mac-brûker mei in beheard VPN: wat IT dwaan moat

Standert macOS-akkounts kinne de hiele dei in bedriuws-VPN draaie, wylst IT elke foarrjochtebewurking hâldt. Dêr komme is in leveringsbeslissing, gjin diskusje oer rjochten: kies wa’t de klient ynstallearret, wa’t de ferbining skriuwt en wat de brûker feroarje mei. Trije rûtes dekke hast elk gefal, en se mislearje elk op in oare manier. Kies de rûte op grûn fan apparaatbesit en type bewiis, en test it dan as de standertbrûker ynstee fan as josels.

Trije leveringsrûtes en wat elk besljochtet

Rûte ien is in beheard konfiguraasjeprofyl dat troch it apparaatbehear fan ’e organisaasje levere wurdt. De VPN-lading draacht de poarte, de ferifikaasjemetoade, rûtes en DNS, en it ynstallearret fia it apparaat- of brûkerskanaal ôfhinklik fan hoe’t de Mac ynskreaun is. Rûte twa is in selsstjinst-ynstallearder: de brûker rint in goedkard pakket dat de klient pleatst en de ferbining foar him skriuwt. Dat wurket as der gjin behearynskriuwing is, mar de organisaasje wol noch in werhelbere, neisjenbere konfiguraasje. Rûte trije is dat de brûker de ferbining mei de hân yn Systeemynstellings makket, neffens publisearre wearden. It is it goedkeapst om te begjinnen en it djoerst om te stypjen, want elke flater oan ’e kliïntkant wurdt in oprop nei de helpdesk en elke feroaring in notysje.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Lês de earste list om te sjen hokker ferbinings besteane en wa’t se hat, en de oare twa om te sjen wat as belied ynstallearre is. In profyl dat yn gjin fan de listen ferskynt, is net oankaam, wat de brûker ek sein is.

Beslis op grûn fan apparaatbesit, net fan âldens

In Mac yn eigendom fan ’e organisaasje rjochtfeardiget meastentiids rûte ien, want itselde kanaal dat de VPN leveret kin it ek fuorthelje, en de brûker kin de ferbining net stil bewurkje. Kies it apparaatkanaal as de tunnel bestean moat foardat in brûker oanmeldt, en it brûkerskanaal as de ferbining by de persoan heart. In persoanlik eigendom Mac mei in bedriuwsstsjinst wiist meastentiids nei rûte twa. De organisaasje kin it apparaat net beheare, dus de ynstallearder moat lyts, weromdraaibaar en goed genôch dokumintearre wêze dat de brûker it ûngedien meitsje kin.

Rûte trije bliuwt ridlik foar in hantsjefol technyske brûkers mei in stabile opset, en foar elkenien dy’t in poarte test foardat it útrôle wurdt. Under dy skaal wurdt it in net-auditearre set fan mei de hân typte ynstellings dy’t nimmen ynventarisearje kin.

Skied it profyl fan it akkount

In lokaal ferbiningprofyl seit hoe’t de poarte berikt wurdt. In akkount dat by de poarte autorisearre is, seit oft de opropper ynkomme mei. Se wurde troch ferskate minsken levere en om ferskate redenen ynlutsen, dus behannelje it profyl nea as de autorisaasje. Sertifikaten sitte der tuskenyn. In sertifikaat dat mei it profyl levere wurdt, ferifiearret it apparaat of de brûker, en it ynlûken derfan by de poarte einiget tagong sels as it profyl op ’e skiif bliuwt. In ûntwerp allinnich mei wachtwurd stipet ynstee op ’e libbenssyklus fan it akkount, dêrom moat de oerdrachtnotysje sizze hokker fan ’e twa yn spil is.

Beslis ek oft de klient in systeem-VPN is of in tunnel per applikaasje. In ûntwerp per applikaasje rjochtet allinnich keazen applikaasjes, en it hinget derfan ôf oft de klient dat model stipet op ’e brûkte macOS-ferzje, dus ferifiearje it op in piloatmasine ynstee fan oan te nimmen dat de ynstelling meireizget.

Jou oer sûnder behearderwachtwurd

De brûker moat de ferbining starte, oanmelde en him nei in wachtwurdfersmoaring werstelle. Neat dêrfan freget in behearderakkount, en neat rjochtfeardiget it ynbêdzjen fan bewiis yn in skript, in Automator-aksje of in postynstallaasjestap fan in ûndertekene pakket.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

De earste twa opdrachten binne bewarings op brûkersnivo dêr’t in helpdesk immen troch liede kin. De tredde lêst resinte tunnelaktiviteit as in ferbining mislearret, en dat is it artefakt dat opfrege wurde moat ynstee fan in skermôfdruk fan in flaterdiaaloch.

As in stap noch altyd beheardergoedkarring freget, is dat in leveringsdefekt: stjoer de krekte oanfrege werom nei de profyleigner ynstee fan in akkount út te jaan mei mear gesach as de taak nedich hat.

Meld oan as standertbrûker en skriuw dan de útgong

Meld oan mei it standertakkount, ferbyn, berik de bedoelde ynterne host, lit de Mac sliepe, wek him en befêstigje it werferbinen. Werhelje it nei in wachtwurdfersmoaring, want dêr mislearret de helte fan dizze útrôlenings echt. Skriuw it werstelpaad op foardat de earste brûker it nedich hat: wat te dwaan as it profyl ûntbrekt, as it sertifikaat ferrûn is en as de poarte in oars jildige oanmelding wegeret. Hâld dy trije antwurden dêr’t de helpdesk se fine kin.

Ta beslút, plan de fuortheljen. In VPN dy’t net fan ’e Mac fan in fuortgeande brûker fuorthelle wurde kin yn ien bewurking, is in befinning fan tagongsneisjen dy’t op it punt stiet te barren.