FortiClient ב-macOS: מנוהל או ידני, ומה לאסוף
החליטו מנוהל או ידני לפני ההתקנה, ואז אספו את הפרוטוקול, השער, הפורט והזהות שהשער מצפה להם. שם מארח בלבד אינו מספיק.
ההגדרה של FortiClient מתחילה בשירות שאליו אתם מצטרפים, ולא בכפתור ה-VPN שמופיע ראשון. Mac ארגוני מנוהל ולקוח שהוגדר אישית עשויים להזדקק למתקינים שונים, לבעלי מדיניות שונים ולשלבי רישום שונים. החלטה על המודל הזה מראש חוסכת שעה של התקנת החבילה הלא נכונה.
החליטו תחילה על מודל הבעלות
בחרו מנוהל כאשר הארגון מפעיל FortiClient EMS ומצפה לאספקה מרכזית של חיבורים, פרופילים ומודולי אבטחה. בחרו ידני רק כאשר המנהל מאשר שהתצורה הידנית מותרת עבור החשבון והמכשיר שלכם. רשמו את הבחירה ושמרו אותה עם רשומת המכשיר. שינוי שלה מאוחר יותר הוא רישום מחדש, לא תיבת סימון.
שני המודלים אינם ניתנים להחלפה בדיעבד. פרופיל מנוהל יכול להיות נעול, והסרת הניהול כדי לחשוף בקרות ידניות היא שינוי מדיניות בתחפושת של פתרון תקלות. אם פרופיל נעול חוסם את החיבור שאתם צריכים, זו שיחה עם הבעלים, לא עקיפה מקומית.
אספו את חוזה החיבור
לפני ההתקנה, אספו חמישה קלטים: פרוטוקול ה-VPN, שם המארח של השער, כל פורט שאינו ברירת מחדל, שיטת האימות והתעודות או האסימונים המעורבים. אשרו גם אם EMS מספק את החיבור או שאתם מגדירים אותו ביד.
שמרו בנפרד את הכניסה לחשבון, את זהות תעודת הלקוח ואת אסימון הרישום. הם יכולים להופיע באותו תהליך עבודה בלי להיות אישורי גישה ניתנים להחלפה. אל תדביקו כתובת URL מלאה של כניסה בדפדפן בשדה שער, אלא אם הוראות הפריסה מבקשות במפורש את הפורמט הזה.
התאימו את הפרוטוקול לגרסת השער
תוכנת השער קובעת אילו פרוטוקולים זמינים, לא תפריט הלקוח. Fortinet מתעדת ש-FortiOS 7.6.3 ואילך אינם תומכים עוד ב-SSL VPN מצב מנהרה, ולכן מדריך SSL-VPN ישן אינו מחליף את ההוראות הנוכחיות של המנהל. שאלו איזה מצב השער מספק לפני שתבחרו פרוטוקול. רשמו את המצב בהערות החיבור. האדם הבא יזדקק לכך.
בפריסת SSL-VPN נתמכת, הצורה המתועדת של FortiClient משתמשת בשם חיבור, ב-Remote Gateway ובפורט מותאם אישית אופציונלי. ל-IPsec יש הגדרות משלו, ובחירה בו אינה המרה של פרופיל SSL. העתקת שדות בין השניים יוצרת חיבור שנראה מוגדר ולעולם אינו מסתיים.
התקינו, אשרו, ספקו
הפעילו את המתקין המאושר עבור הפריסה המיועדת, ואז השלימו את אישורי macOS שהוא מבקש. אמתו את המפרסם ואת הרכיב המבוקש בזמן שאתם מאשרים את הרחבת המערכת ואת תצורת ה-VPN, כי תוויות הרשאות ומיקומן משתנות בין גרסאות macOS ו-צילום מסך ישן אינו סיבה להחליש את אבטחת האתחול.
אם ה-Mac מנוהל, תנו למדיניות המורשית לספק את החיבור ואל תדרסו אותו. אם התצורה הידנית מותרת, פתחו את Remote Access והזינו את החוזה שאספתם. לאחר מכן התחברו עם זרימת האימות שסופקה, כולל כל כניסה חד-פעמית בדפדפן או גורם שני, ואמתו את זהות השרת במקום ללחוץ דרך אזהרת תעודה לא צפויה.
אמתו את המשאב, לא את הסמל הירוק
לאחר שהמנהרה עולה, פתחו את היישום הפרטי המורשה ואשרו ששמו הפנימי נפתר כצפוי. מחוון מחובר אינו הוכחה שכל מסלול או תחום DNS סופק, ובוודאי אינו הוכחה שהיישום שאתם צריכים נגיש.
מדריך החיבורים של FortiClient מגיע בגרסאות, לכן קראו את המהדורה שמתאימה לחבילה המותקנת. אם ההגדרה נכשלת, דווחו על build הלקוח, גרסת macOS, זהות הפרופיל, השעה והשגיאה המשמעותית הראשונה, והשאירו סודות מיוצאים ומפתחות פרטיים מחוץ לדוח.
הגדרה מוצלחת פירושה שהלקוח המאושר, בעל המדיניות, שיטת האימות ונתיב המשאב כולם מסכימים. זה לא אומר שכל Mac זקוק לכל מודול אבטחה, או שכל בקשת הרשאה צריכה להתקבל בלי לקרוא אותה.