Usuario estándar de Mac cunha VPN xestionada: que debe asumir TI

As contas estándar de macOS poden executar unha VPN corporativa todo o día mentres TI conserva cada operación privilegiada. Chegar aí é unha decisión de entrega, non unha discusión sobre permisos: escolla quen instala o cliente, quen crea a conexión e que pode cambiar o usuario. Tres rutas cobren case todos os casos, e cada unha falla dun xeito distinto. Escolla a ruta segundo a propiedade do dispositivo e o tipo de credencial, e despois proba como usuario estándar en lugar de como vostede mesmo.

Tres rutas de entrega e que resolve cada unha

A primeira ruta é un perfil de configuración xestionado que entrega o sistema de xestión de dispositivos da organización. A carga da VPN leva a pasarela, o método de autenticación, as rutas e o DNS, e instálase pola canle do dispositivo ou do usuario segundo como estea rexistrado o Mac. A segunda ruta é un instalador de autoservizo: o usuario executa un paquete aprobado que coloca o cliente e escribe a conexión por el. Funciona cando non hai rexistro de xestión, pero a organización aínda quere unha configuración repetible e revisable. A terceira ruta é que o usuario cree a conexión a man en Axustes do sistema, seguindo valores publicados. É a máis barata de comezar e a máis cara de manter, porque cada erro do lado do cliente convértese nunha chamada ao servizo de asistencia e cada cambio nunha nota.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Lea a primeira listaxe para ver que conexións existen e quen as posúe, e as outras dúas para ver que se instalou como política. Un perfil que non aparece en ningunha das listaxes non chegou, diga o que diga ao usuario.

Decida pola propiedade do dispositivo, non pola antigüidade

Un Mac propiedade da organización normalmente xustifica a primeira ruta, porque a mesma canle que entrega a VPN pode retirala, e o usuario non pode editar a conexión en silencio. Escolla a canle do dispositivo cando o túnel deba existir antes de que inicie sesión calquera usuario, e a canle do usuario cando a conexión pertenza á persoa. Un Mac de propiedade persoal cun servizo corporativo adoita apuntar á segunda ruta. A organización non pode xestionar o dispositivo, así que o instalador ten que ser pequeno, reversible e estar documentado o suficiente para que o usuario poida desfacelo.

A terceira ruta segue sendo razoable para un feixe de usuarios técnicos cunha configuración estable, e para quen proba unha pasarela antes de despregala. Por baixo desa escala convértese nun conxunto non auditado de axustes escritos a man que ninguén pode inventariar.

Separe o perfil da conta

Un perfil de conexión local di como chegar á pasarela. Unha conta autorizada na pasarela di se quen chama pode entrar. Aparellan a distintos e revócanse por motivos distintos, así que nunca trate o perfil como a autorización. Os certificados sitúanse no medio. Un certificado entregado co perfil autentica o dispositivo ou o usuario, e revogalo na pasarela remata o acceso aínda que o perfil siga no disco. Un deseño só con contrasinal apóiase no ciclo de vida da conta, e por iso a nota de entrega debe dicir cal dos dous está en xogo.

Decida tamén se o cliente é unha VPN de sistema ou un túnel por aplicación. Un deseño por aplicación encamiña só as aplicacións escollidas, e depende de que o cliente admita ese modelo na versión de macOS en uso, así que vérifiqueo nunha máquina piloto en lugar de supor que o axuste viaxa.

Entregue sen contrasinal de administrador

O usuario necesita iniciar a conexión, iniciar sesión e recuperarse dun cambio de contrasinal. Nada diso esixe unha conta de administrador, e nada xustifica incrustar credenciais nun script, nunha acción de Automator ou nun paso posterior á instalación dun paquete asinado.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Os dous primeiros comandos son operacións de usuario polas que o servizo de asistencia pode guiar a alguén. O terceiro le a actividade recente do túnel cando falla unha conexión, e é o artefacto que hai que pedir en lugar dunha captura de pantalla dun diálogo de erro.

Se un paso aínda esixe aprobación de administrador, é un defecto de entrega: devolva o aviso exacto ao propietario do perfil en lugar de repartir unha conta con máis autoridade da que precisa a tarefa.

Inicie sesión como usuario estándar e logo escriba a saída

Inicie sesión coa conta estándar, conéctese, chegue ao host interno previsto, deixe que o Mac durma, desperte e confirme a reconexión. Repítao tras un cambio de contrasinal, porque é xusto aí onde a metade destes despregamentos fallan de verdade. Escriba a ruta de recuperación antes de que a necesite o primeiro usuario: que facer cando falta o perfil, cando o certificado caducou e cando a pasarela rexeita un inicio de sesión por demais válido. Garde esas tres respostas onde o servizo de asistencia as poida atopar.

Por último, planifique a retirada. Unha VPN que non se poida quitar do Mac dun usuario que se vai nunha soa operación é un achado de revisión de accesos a piques de ocorrer.