Standardni Mac korisnik s upravljanim VPN-om: šta IT mora preuzeti

Standardni macOS računi mogu cijeli dan pokretati korporativni VPN dok IT zadržava svaku privilegovanu operaciju. Doći tamo je odluka o isporuci, a ne rasprava o dozvolama: odaberite ko instalira klijenta, ko piše vezu i šta korisnik smije mijenjati. Tri rute pokrivaju skoro svaki slučaj, a svaka od njih pada na drugačiji način. Odaberite rutu prema vlasništvu nad uređajem i vrsti akreditive, pa je testirajte kao standardni korisnik, a ne kao vi.

Tri rute isporuke i šta svaka rješava

Prva ruta je upravljani konfiguracijski profil koji dostavlja organizacijski sistem za upravljanje uređajima. VPN korisni teret nosi pristupnik, metod provjere identiteta, rute i DNS, a instalira se kroz kanal uređaja ili korisnika zavisno od toga kako je Mac upisan. Druga ruta je instalater za samoposlugu: korisnik pokreće odobreni paket koji postavlja klijenta i piše vezu umjesto njega. To radi kada nema upisa u upravljanje, ali organizacija i dalje želi ponovljivu konfiguraciju koja se može pregledati. Treća ruta je da korisnik ručno kreira vezu u sistemskim postavkama, slijedeći objavljene vrijednosti. Najjeftinija je za početak i najskuplja za podršku, jer svaka greška na strani klijenta postaje poziv pomoćnoj službi, a svaka promjena postaje dopis.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Pročitajte prvi spisak da vidite koje veze postoje i ko ih posjeduje, a druga dva da vidite šta je instalirano kao politika. Profil koji se ne pojavljuje ni na jednom spisku nije stigao, šta god korisniku bilo rečeno.

Odlučujte prema vlasništvu nad uređajem, ne prema stažu

Mac u vlasništvu organizacije obično opravdava prvu rutu, jer isti kanal koji isporučuje VPN može ga i ukloniti, a korisnik ne može tiho mijenjati vezu. Odaberite kanal uređaja kada tunel mora postojati prije nego što se bilo koji korisnik prijavi, a kanal korisnika kada veza pripada osobi. Lični Mac s korporativnom uslugom obično upućuje na drugu rutu. Organizacija ne može upravljati uređajem, pa instalater mora biti mali, povrativ i dovoljno dokumentovan da ga korisnik može poništiti.

Treća ruta ostaje razumna za nekolicinu tehničkih korisnika sa stabilnim postavkama i za svakoga ko testira pristupnik prije uvođenja. Ispod tog obima ona postaje nerevidirani skup ručno otkucanih postavki koje niko ne može popisati.

Odvojite profil od računa

Lokalni profil veze kaže kako doći do pristupnika. Račun autorizovan na pristupniku kaže smije li pozivalac ući. Njih obezbjeđuju različiti ljudi i opozivaju iz različitih razloga, pa profil nikada ne tretirajte kao autorizaciju. Certifikati stoje između. Certifikat dostavljen s profilom provjerava identitet uređaja ili korisnika, a njegovo opozivanje na pristupniku prekida pristup čak i ako profil ostane na disku. Dizajn samo s lozinkom oslanja se na životni ciklus računa, zato predajna bilješka mora reći koji je od dva u igri.

Također odlučite je li klijent sistemski VPN ili tunel po aplikaciji. Dizajn po aplikaciji rutira samo odabrane aplikacije i zavisi od toga podržava li klijent taj model na korištenoj verziji macOS-a, pa to provjerite na pilot mašini umjesto da pretpostavite da postavka putuje.

Predajte bez administratorske lozinke

Korisnik treba pokrenuti vezu, prijaviti se i oporaviti nakon promjene lozinke. Ništa od toga ne zahtijeva administratorski račun i ništa ne opravdava ugrađivanje akreditiva u skriptu, Automator radnju ili postinstall korak potpisanog paketa.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Prve dvije komande su operacije na nivou korisnika kroz koje pomoćna služba može nekoga provesti. Treća čita nedavnu aktivnost tunela kada veza padne, i to je artefakt koji treba tražiti umjesto snimka ekrana dijaloga s greškom.

Ako neki korak još traži administratorsko odobrenje, to je nedostatak isporuke: vratite tačan upit vlasniku profila umjesto da podijelite račun s više ovlasti nego što zadatak traži.

Prijavite se kao standardni korisnik, pa napišite izlaz

Prijavite se standardnim računom, povežite se, dođite do predviđenog internog hosta, pustite Mac da zaspi, probudite ga i potvrdite ponovno povezivanje. Ponovite nakon promjene lozinke, jer tu polovina ovih uvođenja zaista pada. Zapišite put oporavka prije nego što ga prvi korisnik zatreba: šta raditi kada profil nedostaje, kada je certifikat istekao i kada pristupnik odbije inače valjanu prijavu. Držite ta tri odgovora tamo gdje ih pomoćna služba može naći.

Na kraju, planirajte uklanjanje. VPN koji se ne može ukloniti s Maca korisnika koji odlazi u jednoj operaciji je nalaz revizije pristupa koji će se tek dogoditi.