FortiClient su macOS: gestito o manuale e cosa raccogliere

La configurazione di FortiClient inizia dal servizio a cui vi collegate, non dal pulsante VPN che compare per primo. Un Mac aziendale gestito e un client configurato personalmente possono richiedere programmi di installazione diversi, proprietari di criteri diversi e passaggi di registrazione diversi. Decidere prima questo modello fa risparmiare un’ora di installazione del pacchetto sbagliato.

Decidete prima il modello di proprietà

Scegliete gestito quando l’organizzazione esegue FortiClient EMS e prevede il provisioning centrale di connessioni, profili e moduli di sicurezza. Scegliete manuale solo quando l’amministratore conferma che la configurazione manuale è consentita per il vostro account e dispositivo. Annotate la scelta e conservatela con la scheda del dispositivo. Cambiarla in seguito è una nuova registrazione, non una casella di controllo.

I due modelli non sono intercambiabili a posteriori. Un profilo gestito può essere bloccato, e rimuovere la gestione per esporre i controlli manuali è un cambio di criterio mascherato da risoluzione dei problemi. Se un profilo bloccato impedisce la connessione necessaria, è una conversazione con il proprietario, non un aggiramento locale.

Raccogliete il contratto di connessione

Prima dell’installazione, raccogliete cinque dati: il protocollo VPN, il nome host del gateway, qualsiasi porta non predefinita, il metodo di autenticazione e i certificati o token coinvolti. Confermate anche se EMS fornisce la connessione o se la configurate a mano.

Tenete separati l’accesso all’account, l’identità del certificato client e il token di registrazione. Possono comparire nello stesso flusso di lavoro senza essere credenziali intercambiabili. Non incollate un URL di accesso del browser completo in un campo del gateway, a meno che le istruzioni di distribuzione non richiedano esplicitamente quel formato.

Allineate il protocollo alla versione del gateway

È il software del gateway a decidere quali protocolli sono disponibili, non il menu del client. Fortinet documenta che FortiOS 7.6.3 e successivi non supportano più SSL VPN la modalità tunnel, quindi una vecchia guida SSL-VPN non sostituisce le istruzioni attuali dell’amministratore. Chiedete quale modalità serve il gateway prima di scegliere un protocollo. Annotate la modalità nelle note di connessione. La persona successiva ne avrà bisogno.

In una distribuzione SSL-VPN supportata, la forma documentata di FortiClient usa un nome di connessione, un Remote Gateway e una porta personalizzata facoltativa. IPsec ha le proprie impostazioni, e selezionarlo non è una conversione di un profilo SSL. Copiare i campi tra i due produce una connessione che sembra configurata e non si completa mai.

Installate, approvate, fornite

Eseguite il programma di installazione approvato per la distribuzione prevista, poi completate le approvazioni macOS che richiede. Verificate l’editore e il componente richiesto mentre approvate l’estensione di sistema e la configurazione VPN, perché etichette e posizioni dei permessi cambiano tra le versioni di macOS e una vecchia schermata non è un motivo per indebolire la sicurezza di avvio.

Se il Mac è gestito, lasciate che il criterio autorizzato fornisca la connessione e non sovrascrivetela. Se la configurazione manuale è consentita, aprite Remote Access e inserite il contratto raccolto. Poi collegatevi con il flusso di autenticazione fornito, incluso qualsiasi accesso singolo del browser o secondo fattore, e validate l’identità del server invece di cliccare oltre un avviso di certificato imprevisto.

Verificate la risorsa, non l’icona verde

Una volta attivo il tunnel, aprite l’applicazione privata autorizzata e confermate che il suo nome interno si risolva come previsto. Un indicatore di connessione non prova che ogni rotta o dominio DNS sia stato fornito, e certamente non prova che l’applicazione che vi serve sia raggiungibile.

La guida alle connessioni di FortiClient è versionata, quindi leggete l’edizione che corrisponde al pacchetto installato. Se la configurazione fallisce, segnalate la build del client, la versione di macOS, l’identità del profilo, l’ora e il primo errore significativo, e tenete segreti esportati e chiavi private fuori dal rapporto.

Una configurazione riuscita significa che il client approvato, il proprietario del criterio, il metodo di autenticazione e il percorso della risorsa concordano. Non significa che ogni Mac abbia bisogno di ogni modulo di sicurezza, né che ogni richiesta di permesso debba essere accettata senza leggerla.