Venjulegur Mac-notandi með stýrðu VPN: hvað upplýsingatæknin verður að eiga

Venjulegir macOS-reikningar geta keyrt fyrirtækis-VPN allan daginn á meðan upplýsingatæknin heldur hverri forréttindaðgerð. Að komast þangað er afhendingarákvörðun, ekki rökræða um heimildir: veldu hver setur upp biðlarann, hver skrifar tenginguna og hvað notandanum er heimilt að breyta. Þrjár leiðir ná yfir nánast öll tilvik, og hver þeirra bregst á annan hátt. Veldu leiðina eftir eignarhaldi tækisins og tegund skírteina, prófaðu hana síðan sem venjulegur notandi en ekki sem þú sjálf.

Þrjár afhendingarleiðir og hvað hver um sig ræður

Fyrsta leiðin er stýrð stillingarprófíll sem tækjastjórnun stofnunarinnar afhendir. VPN-farmurinn ber gáttina, auðkenningaraðferðina, leiðirnar og DNS, og hann er settur upp í gegnum tækja- eða notendarslóð eftir því hvernig Macinn er skráður. Önnur leiðin er sjálfsafgreiðsluuppsetning: notandinn keyrir samþykkt pakka sem setur biðlarann og skrifar tenginguna fyrir hann. Þetta virkar þegar engin stjórnunarskráning er til en stofnunin vill samt endurtakanlega og yfirferðarhæfa stillingu. Þriðja leiðin er að notandinn býr til tenginguna handvirkt í Kerfisstillingum eftir birtum gildum. Hún er ódýrust til að byrja og dýrust til að styðja, því hver villa á biðlarahlið verður símtal við hjálparborðið og hver breyting verður minnisblað.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Lestu fyrsta listann til að sjá hvaða tengingar eru til og hver á þær, og hina tvo til að sjá hvað var sett upp sem stefna. Prófíll sem birtist á hvorugum listanum kom ekki, hvað sem notandanum var sagt.

Ákveddu eftir eignarhaldi tækisins, ekki eftir stöðu

Mac í eigu stofnunarinnar réttlætir venjulega fyrstu leiðina, því sama slóðin sem afhendir VPNið getur líka fjarlægt það, og notandinn getur ekki breytt tengingunni í kyrrþey. Veldu tækjaslóðina þegar göngin verða að vera til áður en nokkur notandi skráir sig inn, og notendarslóðina þegar tengingin tilheyrir manneskjunni. Mac í persónulegri eigu með fyrirtækjaþjónustu bendir venjulega á aðra leiðina. Stofnunin getur ekki stjórnað tækinu, svo uppsetningin verður að vera lítil, afturkræf og nógu vel skjalfest til að notandinn geti afturkallað hana.

Þriðja leiðin helst sanngjörn fyrir handfylli tækninotenda með stöðuga uppsetningu, og fyrir hvern þann sem prófar gátt áður en hún er tekin í notkun. Fyrir neðan þann mælikvarða verður hún að óendurskoðuðu safni handskrifaðra stillinga sem enginn getur skrásett.

Aðskildu prófílinn frá reikningnum

Staðbundinn tengingarprófíll segir hvernig ná á gáttinni. Reikningur sem er heimilaður við gáttina segir hvort sá sem hringir megi komast inn. Ólík fólk veitir þá og afturkallar af ólíkum ástæðum, svo farðu aldrei með prófílinn sem heimildina. Skírteinin liggja þar á milli. Skírteini sem afhent er með prófílnum auðkennir tækið eða notandann, og afturköllun þess við gáttina endar aðganginn þótt prófíllinn verði áfram á disknum. Hönnun sem byggir eingöngu á lykilorði hallar sér í staðinn að lífsferli reikningsins, og þess vegna verður afhendingarathugasemdin að segja hvorra tveggja er í gangi.

Ákveddu líka hvort biðlarinn er kerfis-VPN eða göng fyrir hvert forrit. Hönnun fyrir hvert forrit beinir aðeins völdum forritum, og hún er háð því hvort biðlarinn styður það líkan á macOS-útgáfunni sem er í notkun, svo staðfestu það á tilraunavél í stað þess að gera ráð fyrir að stillingin flytjist með.

Afhentu án stjórnandarlykilorðs

Notandinn þarf að ræsa tenginguna, skrá sig inn og jafna sig eftir lykilorðsbreytingu. Ekkert þessara krefst stjórnandareiknings, og ekkert þeirra réttlætir að fella skírteini inn í skriftu, Automator-aðgerð eða skref eftir uppsetningu undirritaðs pakka.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Fyrstu tvær skipanirnar eru aðgerðir á notendastigi sem hjálparborð getur leitt einhvern í gegnum. Þriðja skipunin les nýlega virkni ganganna þegar tenging bregst, og það er gripurinn sem á að biðja um í stað skjámyndar af villuglugga.

Ef skref krefst enn samþykkis stjórnanda er það afhendingargalli: sendu nákvæma beiðnina aftur til eiganda prófílsins í stað þess að afhenda reikning með meira valdi en verkefnið þarf.

Skráðu þig inn sem venjulegur notandi og skrifaðu síðan útgönguna

Skráðu þig inn með venjulega reikningnum, tengdu, náðu tilætlaða innri vél, láttu Macinn sofna, vakti hann og staðfestu endurtengingu. Endurtaktu eftir lykilorðsbreytingu, því þar bregst helmingur þessara innleiðinga í raun. Skrifaðu endurheimtarleiðina áður en fyrsti notandinn þarf hana: hvað eigi að gera þegar prófíllinn vantar, þegar skírteinið er útrunnið og þegar gáttin hafnar annars gildri innskráningu. Haltu þessum þremur svörum þar sem hjálparborðið getur fundið þau.

Að lokum skaltu skipuleggja fjarlæginguna. VPN sem ekki er hægt að fjarlægja af Mac notanda sem er að fara í einni aðgerð er athugun í aðgangsúttekt sem er í vændum.