Pengguna Mac biasa dengan VPN terkelola: apa yang harus ditanggung TI

Akun macOS biasa dapat menjalankan VPN perusahaan sepanjang hari sementara TI menyimpan setiap operasi berhak istimewa. Mencapai itu adalah keputusan pengiriman, bukan perdebatan soal izin: pilih siapa yang memasang klien, siapa yang menulis koneksi, dan apa yang boleh diubah pengguna. Tiga jalur mencakup hampir semua kasus, dan masing-masing gagal dengan cara berbeda. Pilih jalur berdasarkan kepemilikan perangkat dan jenis kredensial, lalu ujilah sebagai pengguna biasa, bukan sebagai diri Anda sendiri.

Tiga jalur pengiriman dan apa yang dituntaskan masing-masing

Jalur pertama adalah profil konfigurasi terkelola yang dikirim oleh manajemen perangkat organisasi. Muatan VPN membawa gateway, metode autentikasi, rute, dan DNS, dan dipasang melalui kanal perangkat atau pengguna tergantung bagaimana Mac terdaftar. Jalur kedua adalah penginstal swalayan: pengguna menjalankan paket yang disetujui yang menempatkan klien dan menulis koneksi untuknya. Ini berfungsi ketika tidak ada pendaftaran manajemen tetapi organisasi tetap menginginkan konfigurasi yang dapat diulang dan ditinjau. Jalur ketiga adalah pengguna membuat koneksi secara manual di Pengaturan Sistem, mengikuti nilai yang diterbitkan. Ini paling murah untuk dimulai dan paling mahal untuk didukung, karena setiap kesalahan di sisi klien menjadi panggilan ke meja bantuan dan setiap perubahan menjadi memo.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Baca daftar pertama untuk melihat koneksi apa yang ada dan siapa pemiliknya, dan dua daftar lainnya untuk melihat apa yang dipasang sebagai kebijakan. Profil yang tidak muncul di kedua daftar tidak sampai, apa pun yang dikatakan kepada pengguna.

Putuskan berdasarkan kepemilikan perangkat, bukan senioritas

Mac milik organisasi biasanya membenarkan jalur pertama, karena kanal yang sama yang mengirim VPN dapat menghapusnya, dan pengguna tidak dapat menyunting koneksi secara diam-diam. Pilih kanal perangkat ketika terowongan harus ada sebelum pengguna mana pun masuk, dan kanal pengguna ketika koneksi milik orang tersebut. Mac milik pribadi dengan layanan perusahaan biasanya mengarah ke jalur kedua. Organisasi tidak dapat mengelola perangkat, jadi penginstal harus kecil, dapat dibalik, dan terdokumentasi cukup baik sehingga pengguna dapat membatalkannya.

Jalur ketiga tetap wajar untuk segelintir pengguna teknis dengan penyiapan stabil, dan bagi siapa pun yang menguji gateway sebelum diterapkan. Di bawah skala itu, ia menjadi kumpulan pengaturan yang ditulis tangan tanpa audit yang tidak dapat diinventarisasi siapa pun.

Pisahkan profil dari akun

Profil koneksi lokal menyatakan cara mencapai gateway. Akun yang diotorisasi di gateway menyatakan apakah pemanggil boleh masuk. Keduanya disediakan oleh orang berbeda dan dicabut karena alasan berbeda, jadi jangan pernah memperlakukan profil sebagai otorisasinya. Sertifikat berada di antaranya. Sertifikat yang dikirim bersama profil mengautentikasi perangkat atau pengguna, dan mencabutnya di gateway mengakhiri akses meskipun profil tetap ada di disk. Desain yang hanya mengandalkan kata sandi bersandar pada siklus hidup akun, karena itu catatan penyerahan harus menyatakan mana dari keduanya yang berlaku.

Putuskan juga apakah klien adalah VPN sistem atau terowongan per aplikasi. Desain per aplikasi hanya merutekan aplikasi terpilih, dan bergantung pada apakah klien mendukung model itu pada versi macOS yang dipakai, jadi verifikasikan di mesin percontohan alih-alih menganggap pengaturannya ikut berpindah.

Serahkan tanpa kata sandi administrator

Pengguna perlu memulai koneksi, masuk, dan pulih setelah perubahan kata sandi. Tidak satu pun dari itu memerlukan akun administrator, dan tidak satu pun membenarkan menyematkan kredensial dalam skrip, tindakan Automator, atau langkah pascainstal paket bertanda tangan.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Dua perintah pertama adalah operasi tingkat pengguna yang dapat dipandu meja bantuan kepada seseorang. Perintah ketiga membaca aktivitas terowongan terbaru ketika koneksi gagal, dan itulah artefak yang harus diminta alih-alih tangkapan layar kotak kesalahan.

Jika suatu langkah masih menuntut persetujuan administrator, itu cacat pengiriman: kembalikan permintaan yang tepat kepada pemilik profil alih-alih membagikan akun dengan wewenang lebih besar daripada yang dibutuhkan tugas.

Masuk sebagai pengguna biasa, lalu tulis jalan keluarnya

Masuk dengan akun biasa, sambungkan, capai host internal yang dimaksud, biarkan Mac tidur, bangunkan, dan konfirmasi penyambungan ulang. Ulangi setelah perubahan kata sandi, karena di situlah separuh penerapan ini benar-benar gagal. Tuliskan jalur pemulihan sebelum pengguna pertama membutuhkannya: apa yang harus dilakukan ketika profil hilang, ketika sertifikat kedaluwarsa, dan ketika gateway menolak login yang sebenarnya valid. Simpan ketiga jawaban itu di tempat meja bantuan dapat menemukannya.

Terakhir, rencanakan penghapusan. VPN yang tidak dapat dihapus dari Mac pengguna yang keluar dalam satu operasi adalah temuan tinjauan akses yang akan segera terjadi.