प्रबंधित VPN के साथ सामान्य Mac उपयोगकर्ता: IT को क्या संभालना चाहिए

सामान्य macOS खाते पूरे दिन कॉर्पोरेट VPN चला सकते हैं जबकि IT हर विशेषाधिकार वाला कार्य अपने पास रखता है। वहाँ पहुँचना एक डिलीवरी निर्णय है, अनुमतियों पर बहस नहीं: चुनें कि क्लाइंट कौन इंस्टॉल करता है, कनेक्शन कौन लिखता है और उपयोगकर्ता क्या बदल सकता है। तीन मार्ग लगभग हर स्थिति को कवर करते हैं, और हर एक अलग तरह से विफल होता है। डिवाइस के स्वामित्व और क्रेडेंशियल के प्रकार के आधार पर मार्ग चुनें, फिर उसे अपने बजाय सामान्य उपयोगकर्ता के रूप में परखें।

तीन डिलीवरी मार्ग और हर एक क्या तय करता है

पहला मार्ग संगठन के डिवाइस प्रबंधन द्वारा दी गई प्रबंधित कॉन्फ़िगरेशन प्रोफ़ाइल है। VPN पेलोड गेटवे, प्रमाणीकरण विधि, रूट और DNS ले जाता है, और Mac कैसे नामांकित है उसके अनुसार डिवाइस या उपयोगकर्ता चैनल से इंस्टॉल होता है। दूसरा मार्ग स्व-सेवा इंस्टॉलर है: उपयोगकर्ता एक स्वीकृत पैकेज चलाता है जो क्लाइंट रखता है और उसकी ओर से कनेक्शन लिखता है। यह तब काम करता है जब प्रबंधन नामांकन न हो पर संगठन फिर भी दोहराने योग्य और समीक्षा योग्य कॉन्फ़िगरेशन चाहता हो। तीसरा मार्ग यह है कि उपयोगकर्ता प्रकाशित मानों का पालन करते हुए सिस्टम सेटिंग्स में हाथ से कनेक्शन बनाए। यह शुरू करने में सबसे सस्ता और सहारा देने में सबसे महंगा है, क्योंकि क्लाइंट पक्ष की हर गलती हेल्प डेस्क पर कॉल बनती है और हर बदलाव एक नोट बनता है।

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

पहली सूची पढ़ें ताकि दिखे कि कौन-से कनेक्शन हैं और उनके स्वामी कौन हैं, और अन्य दो यह देखने के लिए कि नीति के रूप में क्या इंस्टॉल हुआ। जो प्रोफ़ाइल किसी भी सूची में नहीं दिखती, वह पहुँची ही नहीं, उपयोगकर्ता को जो भी बताया गया हो।

डिवाइस के स्वामित्व से तय करें, वरिष्ठता से नहीं

संगठन के स्वामित्व वाला Mac सामान्यतः पहले मार्ग को उचित ठहराता है, क्योंकि VPN देने वाला वही चैनल उसे हटा भी सकता है, और उपयोगकर्ता कनेक्शन चुपचाप संपादित नहीं कर सकता। डिवाइस चैनल तब चुनें जब किसी भी उपयोगकर्ता के साइन इन करने से पहले टनल मौजूद होनी चाहिए, और उपयोगकर्ता चैनल तब जब कनेक्शन व्यक्ति का हो। कॉर्पोरेट सेवा वाला व्यक्तिगत स्वामित्व का Mac सामान्यतः दूसरे मार्ग की ओर इशारा करता है। संगठन डिवाइस का प्रबंधन नहीं कर सकता, इसलिए इंस्टॉलर छोटा, उलटने योग्य और इतना प्रलेखित होना चाहिए कि उपयोगकर्ता उसे रद्द कर सके।

स्थिर सेटअप वाले गिने-चुने तकनीकी उपयोगकर्ताओं और तैनाती से पहले गेटवे परखने वाले किसी भी व्यक्ति के लिए तीसरा मार्ग उचित रहता है। उस पैमाने से नीचे यह हाथ से लिखी सेटिंग्स का बिना ऑडिट वाला संग्रह बन जाता है जिसकी कोई सूची नहीं बना सकता।

प्रोफ़ाइल को खाते से अलग रखें

स्थानीय कनेक्शन प्रोफ़ाइल बताती है कि गेटवे तक कैसे पहुँचना है। गेटवे पर अधिकृत खाता बताता है कि कॉल करने वाला अंदर आ सकता है या नहीं। इन्हें अलग-अलग लोग प्रदान करते हैं और अलग-अलग कारणों से रद्द करते हैं, इसलिए प्रोफ़ाइल को कभी अधिकृति मत मानिए। प्रमाणपत्र बीच में रहते हैं। प्रोफ़ाइल के साथ दिया गया प्रमाणपत्र डिवाइस या उपयोगकर्ता को प्रमाणित करता है, और गेटवे पर उसे रद्द करने से पहुँच समाप्त हो जाती है भले ही प्रोफ़ाइल डिस्क पर रहे। केवल पासवर्ड पर आधारित डिज़ाइन इसके बजाय खाते के जीवनचक्र पर टिकता है, इसलिए सौंपने के नोट में बताना चाहिए कि दोनों में से कौन सा चल रहा है।

यह भी तय करें कि क्लाइंट सिस्टम VPN है या प्रति-ऐप टनल। प्रति-ऐप डिज़ाइन केवल चुने गए ऐप्स को रूट करता है, और यह इस पर निर्भर है कि क्लाइंट उपयोग किए जा रहे macOS संस्करण पर वह मॉडल समर्थित करता है या नहीं, इसलिए सेटिंग साथ चलेगी मानने के बजाय पायलट मशीन पर जाँचें।

एडमिन पासवर्ड के बिना सौंपें

उपयोगकर्ता को कनेक्शन शुरू करना, साइन इन करना और पासवर्ड बदलने के बाद उबरना होता है। इनमें से किसी के लिए एडमिन खाता नहीं चाहिए, और कोई भी क्रेडेंशियल को स्क्रिप्ट, Automator क्रिया या हस्ताक्षरित पैकेज के इंस्टॉल-बाद चरण में डालने को उचित नहीं ठहराता।

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

पहले दो कमांड उपयोगकर्ता-स्तर के कार्य हैं जिनसे हेल्प डेस्क किसी को मार्गदर्शन दे सकता है। तीसरा कनेक्शन विफल होने पर हाल की टनल गतिविधि पढ़ता है, और त्रुटि संवाद के स्क्रीनशॉट के बजाय यही माँगने योग्य वस्तु है।

अगर कोई चरण अब भी एडमिन की स्वीकृति माँगता है, तो यह डिलीवरी दोष है: कार्य को जितनी ज़रूरत है उससे अधिक अधिकार वाला खाता बाँटने के बजाय सटीक संकेत प्रोफ़ाइल स्वामी को वापस भेजें।

सामान्य उपयोगकर्ता के रूप में साइन इन करें और फिर निकास लिखें

सामान्य खाते से साइन इन करें, कनेक्ट करें, इच्छित आंतरिक होस्ट तक पहुँचें, Mac को सोने दें, जगाएँ और पुनः कनेक्शन की पुष्टि करें। पासवर्ड बदलने के बाद इसे दोहराएँ, क्योंकि ठीक वहीं इनमें से आधी तैनातियाँ वास्तव में विफल होती हैं। पहले उपयोगकर्ता को इसकी ज़रूरत पड़ने से पहले रिकवरी मार्ग लिखें: प्रोफ़ाइल न होने पर, प्रमाणपत्र समाप्त होने पर और गेटवे द्वारा अन्यथा वैध लॉगिन अस्वीकार होने पर क्या करें। उन तीन उत्तरों को वहाँ रखें जहाँ से हेल्प डेस्क उन्हें खोज सके।

अंत में, हटाने की योजना बनाएँ। एक ही कार्यवाही में जाने वाले उपयोगकर्ता के Mac से हटाया न जा सकने वाला VPN पहुँच समीक्षा का ऐसा निष्कर्ष है जो अभी होने वाला है।