Átlagos Mac-felhasználó felügyelt VPN-nel: mit kell az IT-nak vállalnia

Az átlagos macOS-fiókok egész nap futtathatnak vállalati VPN-t, miközben az IT minden kiemelt műveletet magánál tart. Odáig eljutni szállítási döntés, nem jogosultsági vita: válassza ki, ki telepíti a klienst, ki írja a kapcsolatot és mit módosíthat a felhasználó. Három útvonal lefedi szinte az összes esetet, és mindegyik másképp hibázik. Az eszköz tulajdona és a hitelesítő adat típusa alapján válassza az útvonalat, majd tesztelje átlagos felhasználóként, ne önmagaként.

Három szállítási útvonal és mit dönt el mindegyik

Az első útvonal egy felügyelt konfigurációs profil, amelyet a szervezet eszközkezelése szállít. A VPN hasznos terhelése hordozza az átjárót, a hitelesítési módot, az útvonalakat és a DNS-t, és az eszköz vagy a felhasználó csatornáján települ, attól függően, hogyan van regisztrálva a Mac. A második útvonal egy önkiszolgáló telepítő: a felhasználó egy jóváhagyott csomagot futtat, amely elhelyezi a klienst és helyette megírja a kapcsolatot. Ez akkor működik, ha nincs kezelési regisztráció, de a szervezet mégis ismételhető és áttekinthető konfigurációt akar. A harmadik útvonal, hogy a felhasználó kézzel hozza létre a kapcsolatot a Rendszerbeállításokban, közzétett értékeket követve. Ez a legolcsóbb elkezdeni és a legdrágább támogatni, mert minden kliensoldali hiba segélykérő hívássá, minden változás pedig feljegyzéssé válik.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Olvassa el az első listát, hogy lássa, milyen kapcsolatok léteznek és kiéi, a másik kettőt pedig, hogy lássa, mi települt szabályzatként. Az a profil, amely egyik listán sem jelenik meg, nem érkezett meg, bármit is mondtak a felhasználónak.

Az eszköz tulajdona alapján döntsön, ne a rang alapján

A szervezet tulajdonában lévő Mac általában igazolja az első útvonalat, mert ugyanaz a csatorna, amely a VPN-t szállítja, el is távolíthatja, és a felhasználó nem szerkesztheti csendben a kapcsolatot. Az eszközcsatornát akkor válassza, ha az alagútnak léteznie kell, mielőtt bármely felhasználó bejelentkezik, a felhasználói csatornát pedig, ha a kapcsolat a személyhez tartozik. A személyes tulajdonú Mac vállalati szolgáltatással általában a második útvonalra mutat. A szervezet nem tudja kezelni az eszközt, ezért a telepítőnek kicsinek, visszafordíthatónak és elég jól dokumentáltnak kell lennie ahhoz, hogy a felhasználó visszavonhassa.

A harmadik útvonal ésszerű marad néhány stabil beállítású műszaki felhasználó és mindenki számára, aki az átjárót a bevezetés előtt teszteli. E lépték alatt ellenőrizetlen, kézzel gépelt beállítások halmazává válik, amelyet senki sem tud leltárba venni.

Válassza külön a profilt a fióktól

A helyi kapcsolatprofil megmondja, hogyan érhető el az átjáró. Az átjárón engedélyezett fiók megmondja, beléphet-e a hívó. Ezeket különböző emberek biztosítják és különböző okokból vonják vissza, ezért soha ne tekintse a profilt az engedélyezésnek. A tanúsítványok középen helyezkednek el. A profillal szállított tanúsítvány hitelesíti az eszközt vagy a felhasználót, és az átjárón történő visszavonása megszünteti a hozzáférést akkor is, ha a profil a lemezen marad. A csak jelszóra épülő kialakítás inkább a fiók életciklusára támaszkodik, ezért az átadási feljegyzésnek meg kell mondania, melyikük van játékban.

Azt is döntse el, hogy a kliens rendszer-VPN vagy alkalmazásonkénti alagút. Az alkalmazásonkénti kialakítás csak a kiválasztott alkalmazásokat irányítja, és azon múlik, hogy a kliens támogatja-e ezt a modellt a használt macOS-verzión, ezért ellenőrizze kísérleti gépen, ahelyett hogy feltételezné, hogy a beállítás vele utazik.

Adja át rendszergazdai jelszó nélkül

A felhasználónak el kell indítania a kapcsolatot, be kell jelentkeznie és fel kell épülnie egy jelszóváltozás után. Egyik sem igényel rendszergazdai fiókot, és egyik sem igazolja, hogy hitelesítő adatokat ágyazzanak szkriptbe, Automator-műveletbe vagy aláírt csomag telepítés utáni lépésébe.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Az első két parancs felhasználói szintű művelet, amelyeken egy segélyszolgálat végigvezethet valakit. A harmadik a legutóbbi alagút-tevékenységet olvassa, amikor egy kapcsolat meghibásodik, és ezt a terméket kell kérni hibaablak képernyőképe helyett.

Ha egy lépés még mindig rendszergazdai jóváhagyást kér, az szállítási hiba: küldje vissza a pontos kérést a profil tulajdonosának, ahelyett hogy a feladatnál nagyobb jogosultságú fiókot osztana ki.

Jelentkezzen be átlagos felhasználóként, majd írja le a kilépést

Jelentkezzen be az átlagos fiókkal, csatlakozzon, érje el a szándékolt belső gazdagépet, hagyja a Macet aludni, ébressze fel és erősítse meg az újracsatlakozást. Ismételje meg jelszóváltozás után, mert éppen ott hibázik meg valójában ezeknek a bevezetéseknek a fele. Írja le a helyreállítási útvonalat, mielőtt az első felhasználónak szüksége lenne rá: mit kell tenni, ha hiányzik a profil, ha lejárt a tanúsítvány, és ha az átjáró egyébként érvényes bejelentkezést utasít el. Tartsa ezt a három választ ott, ahol a segélyszolgálat megtalálja.

Végül tervezze meg az eltávolítást. Az a VPN, amelyet egyetlen művelettel nem lehet eltávolítani egy távozó felhasználó Macjéről, olyan hozzáférési felülvizsgálati megállapítás, amely hamarosan megtörténik.