Ստանդարտ Mac օգտատեր կառավարվող VPN-ով. ինչ պետք է ստանձնի ՏՏ բաժինը

Ստանդարտ macOS հաշիվները կարող են ամբողջ օրը աշխատացնել կորպորատիվ VPN, մինչ ՏՏ բաժինը պահում է յուրաքանչյուր արտոնյալ գործողություն։ Այնտեղ հասնելը մատակարարման որոշում է, ոչ թե իրավունքների վեճ. ընտրեք, թե ով է տեղադրում հաճախորդը, ով է գրում միացումը և ինչ կարող է փոխել օգտատերը։ Երեք ուղի ծածկում են գրեթե բոլոր դեպքերը, և յուրաքանչյուրը ձախողվում է յուրովի։ Ընտրեք ուղին ըստ սարքի սեփականության և վկայագրի տեսակի, ապա փորձարկեք այն որպես ստանդարտ օգտատեր, ոչ թե որպես ինքներդ։

Մատակարարման երեք ուղի և ինչ է լուծում յուրաքանչյուրը

Առաջին ուղին կառավարվող կոնֆիգուրացիայի պրոֆիլն է, որը տրամադրում է կազմակերպության սարքերի կառավարման համակարգը։ VPN բեռը պարունակում է դարպասը, նույնականացման եղանակը, երթուղիները և DNS-ը, և տեղադրվում է սարքի կամ օգտատիրոջ ալիքով՝ կախված նրանից, թե ինչպես է Mac-ը գրանցված։ Երկրորդ ուղին ինքնասպասարկման տեղադրիչն է. օգտատերը գործարկում է հաստատված փաթեթ, որը տեղադրում է հաճախորդը և նրա փոխարեն գրում միացումը։ Սա աշխատում է, երբ կառավարման գրանցում չկա, բայց կազմակերպությունը դեռ ուզում է կրկնելի և վերանայելի կոնֆիգուրացիա։ Երրորդ ուղին այն է, որ օգտատերը ձեռքով ստեղծի միացումը Համակարգի կարգավորումներում՝ հետևելով հրապարակված արժեքներին։ Այն ամենաէժանն է սկսելու և ամենաթանկը՝ պահպանելու համար, որովհետև հաճախորդի կողմի յուրաքանչյուր սխալ դառնում է զանգ աջակցության սեղան, իսկ յուրաքանչյուր փոփոխություն՝ գրառում։

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Կարդացեք առաջին ցանկը՝ տեսնելու, թե որ միացումներն են գոյություն ունեն, և ով է դրանց տերը, իսկ մյուս երկուսը՝ տեսնելու, թե ինչ է տեղադրվել որպես քաղաքականություն։ Ոչ մի ցանկում չհայտնված պրոֆիլը չի ժամանել, ինչ էլ ասվել է օգտատիրոջը։

Որոշեք սարքի սեփականության, ոչ թե պաշտոնի հիման վրա

Կազմակերպությանը պատկանող Mac-ը սովորաբար արդարացնում է առաջին ուղին, որովհետև նույն ալիքը, որը տրամադրում է VPN-ը, կարող է նաև հեռացնել այն, և օգտատերը չի կարող լուռ խմբագրել միացումը։ Ընտրեք սարքի ալիքը, երբ թունելը պետք է գոյություն ունենա նախքան որևէ օգտատիրոջ մուտքը, և օգտատիրոջ ալիքը, երբ միացումը պատկանում է մարդուն։ Անձնական սեփականության Mac-ը կորպորատիվ ծառայությամբ սովորաբար մատնանշում է երկրորդ ուղին։ Կազմակերպությունը չի կարող կառավարել սարքը, ուստի տեղադրիչը պետք է լինի փոքր, շրջելի և բավականաչափ փաստաթղթավորված, որ օգտատերը կարողանա չեղարկել այն։

Երրորդ ուղին խելամիտ է մնում կայուն կարգավորում ունեցող մի քանի տեխնիկական օգտատերերի և նրանց համար, ովքեր փորձարկում են դարպասը ներդրումից առաջ։ Այս մասշտաբից ցածր այն դառնում է ձեռքով մուտքագրված կարգավորումների չստուգված հավաքածու, որը ոչ ոք չի կարող գույքագրել։

Առանձնացրեք պրոֆիլը հաշվից

Տեղական միացման պրոֆիլը ասում է, թե ինչպես հասնել դարպասին։ Դարպասում լիազորված հաշիվը ասում է՝ կարող է արդյոք զանգահարողը մտնել։ Դրանք տրամադրում են տարբեր մարդիկ և չեղարկում տարբեր պատճառներով, ուստի երբեք պրոֆիլը մի համարեք լիազորում։ Վկայագրերը գտնվում են նրանց միջև։ Պրոֆիլի հետ տրամադրված վկայագիրը նույնականացնում է սարքը կամ օգտատիրոջը, և դարպասում այն չեղարկելը վերջ է դնում հասանելիությանը, նույնիսկ եթե պրոֆիլը մնում է սկավառակի վրա։ Միայն գաղտնաբառի վրա հիմնված ձևավորումը փոխարենը հենվում է հաշվի կենսացիկլի վրա, դրա համար էլ հանձնման գրառումը պետք է ասի, թե երկուսից որն է գործում։

Որոշեք նաև՝ հաճախորդը համակարգային VPN է, թե թունել յուրաքանչյուր հավելվածի համար։ Յուրաքանչյուր հավելվածի ձևավորումը երթուղավորում է միայն ընտրված հավելվածները, և դա կախված է նրանից՝ հաճախորդն աջակցում է այդ մոդելին օգտագործվող macOS տարբերակում, թե ոչ, ուստի ստուգեք դա փորձնական մեքենայում՝ փոխարենը չենթադրելով, որ կարգավորումը կուղեկցի։

Հանձնեք առանց ադմինիստրատորի գաղտնաբառի

Օգտատերը պետք է սկսի միացումը, մուտք գործի և վերականգնվի գաղտնաբառի փոփոխությունից հետո։ Դրանցից ոչ մեկը ադմինիստրատորի հաշիվ չի պահանջում, և ոչ մեկը չի արդարացնում վկայագրերի ներկառուցումը սկրիպտի, Automator գործողության կամ ստորագրված փաթեթի տեղադրումից հետո քայլի մեջ։

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Առաջին երկու հրամանները օգտատիրոջ մակարդակի գործողություններ են, որոնցով աջակցության սեղանը կարող է ուղղորդել մեկին։ Երրորդը կարդում է թունելի վերջին ակտիվությունը, երբ միացումը ձախողվում է, և հենց այդ նյութն է, որ պետք է պահանջել սխալի երկխոսության էկրանի պատկերի փոխարեն։

Եթե ինչ-որ քայլ դեռ պահանջում է ադմինիստրատորի հաստատում, դա մատակարարման թերություն է. վերադարձրեք ճշգրիտ հարցումը պրոֆիլի տիրոջը՝ փոխարենը չտրամադրելով ավելի մեծ լիազորությամբ հաշիվ, քան պահանջում է առաջադրանքը։

Մուտք գործեք որպես ստանդարտ օգտատեր, ապա գրեք ելքը

Մուտք գործեք ստանդարտ հաշվով, միացեք, հասեք նպատակային ներքին հոսթին, թողեք Mac-ը քնի, արթնացրեք այն և հաստատեք վերամիացումը։ Կրկնեք գաղտնաբառի փոփոխությունից հետո, որովհետև հենց այնտեղ է, որ այս ներդրումների կեսն իրականում ձախողվում է։ Գրեք վերականգնման ուղին նախքան առաջին օգտատերը դրա կարիքը կունենա. ինչ անել, երբ պրոֆիլը բացակայում է, երբ վկայագիրը ժամկետանց է, և երբ դարպասը մերժում է այլապես վավեր մուտքը։ Պահեք այդ երեք պատասխաններն այնտեղ, որտեղ աջակցության սեղանը կարող է գտնել դրանք։

Վերջապես, պլանավորեք հեռացումը։ VPN-ը, որը հնարավոր չէ հեռացնել հեռացող օգտատիրոջ Mac-ից մեկ գործողությամբ, հասանելիության վերանայման բացահայտում է, որը պատրաստվում է տեղի ունենալ։