macOS の FortiClient：管理対象か手動か、そして何を集めるか

FortiClient の設定は、最初に表示される VPN ボタンではなく、参加するサービスから始まります。管理対象の企業 Mac と個人で設定したクライアントでは、必要なインストーラ、ポリシーの所有者、登録手順が異なることがあります。このモデルを先に決めれば、間違ったパッケージのインストールに費やす一時間を節約できます。

まず所有モデルを決める

組織が FortiClient EMS を運用し、接続、プロファイル、セキュリティモジュールを集中管理する場合は管理対象を選びます。管理者がアカウントとデバイスに手動設定を許可すると確認した場合に限り、手動を選びます。選択を書き留め、デバイス記録と一緒に保管します。後から変更するのは再登録であり、チェックボックスではありません。

二つのモデルは後から入れ替えられません。管理対象プロファイルはロックでき、手動制御を露出させるために管理を外すのは、トラブルシューティングを装ったポリシー変更です。ロックされたプロファイルが必要な接続を妨げる場合、それは所有者との会話であり、ローカルな回避策ではありません。

接続の取り決めを集める

インストール前に、VPN プロトコル、ゲートウェイのホスト名、既定以外のポート、認証方式、関係する証明書やトークンという五つの入力を集めます。EMS が接続を提供するのか、手作業で設定するのかも確認します。

アカウントのログイン、クライアント証明書の ID、登録トークンは別々に保ちます。同じワークフローに現れても、互換性のある資格情報ではありません。展開手順が明示的に求めない限り、ブラウザのログイン URL 全体をゲートウェイのフィールドに貼り付けないでください。

プロトコルをゲートウェイのリリースに合わせる

どのプロトコルが利用できるかはクライアントのメニューではなく、ゲートウェイのソフトウェアが決めます。Fortinet は、FortiOS 7.6.3 以降が SSL VPN トンネルモードをサポートしなくなったと文書化しているため、古い SSL-VPN の手順は管理者の現在の指示の代わりになりません。プロトコルを選ぶ前に、ゲートウェイがどのモードを提供するか尋ねてください。モードは接続メモに記録します。次の担当者がそれを必要とします。

サポートされている SSL-VPN 展開では、FortiClient の文書化された形式は接続名、Remote Gateway、任意のカスタムポートを使います。IPsec には独自の設定があり、それを選ぶことは SSL プロファイルの変換ではありません。両者の間でフィールドをコピーすると、設定済みに見えて決して完了しない接続ができます。

インストールし、承認し、プロビジョニングする

意図した展開用の承認済みインストーラを実行して要求される macOS の承認を完了し、システム拡張と VPN 構成を承認する際には、許可のラベルや場所が macOS のリリース間で変わるため、発行元と要求されたコンポーネントを確認してください。古いスクリーンショットは起動時のセキュリティを弱める理由になりません。

Mac が管理対象の場合は、承認されたポリシーに接続を任せ、上書きしないでください。手動設定が許可されている場合は、Remote Access を開き、集めた取り決めを入力します。次に、ブラウザのシングルサインオンや二要素認証も含め、提供された認証フローで接続し、予期しない証明書警告をクリックして進むのではなく、サーバーの ID を検証してください。

緑のアイコンではなく、リソースを検証する

トンネルが上がったら、承認されたプライベートアプリを開き、内部名が期待どおりに解決されることを確認します。接続済みの表示は、すべてのルートや DNS ドメインが提供された証拠ではなく、必要なアプリに到達できる証拠でも決してありません。

FortiClient 接続ガイド はバージョン管理されているため、インストールしたパッケージに合う版を読んでください。設定に失敗した場合は、クライアントのビルド、macOS のバージョン、プロファイルの ID、時刻、最初の意味のあるエラーを報告し、エクスポートした秘密情報と秘密鍵は報告に含めないでください。

設定の成功とは、承認されたクライアント、ポリシーの所有者、認証方式、リソースの経路がすべて一致していることを意味します。すべての Mac にすべてのセキュリティモジュールが必要という意味でも、すべての許可プロンプトを読まずに受け入れるべきという意味でもありません。