სტანდარტული Mac მომხმარებელი მართული VPN-ით: რა უნდა იკისროს IT-მ

სტანდარტულ macOS ანგარიშებს შეუძლიათ მთელი დღე ამუშაონ კორპორატიული VPN, სანამ IT ინარჩუნებს ყველა პრივილეგირებულ ოპერაციას. იქ მისვლა მიწოდების გადაწყვეტილებაა და არა უფლებების კამათი: აირჩიეთ ვინ დააყენებს კლიენტს, ვინ დაწერს კავშირს და რისი შეცვლა შეუძლია მომხმარებელს. სამი გზა ფარავს თითქმის ყველა შემთხვევას და თითოეული სხვანაირად ფარცხდება. აირჩიეთ გზა მოწყობილობის საკუთრებისა და სერტიფიკატის ტიპის მიხედვით, შემდეგ გამოსცადეთ ის როგორც სტანდარტული მომხმარებელი და არა როგორც თქვენ.

მიწოდების სამი გზა და რას წყვეტს თითოეული

პირველი გზა არის მართული კონფიგურაციის პროფილი, რომელსაც ორგანიზაციის მოწყობილობების მართვის სისტემა აწვდის. VPN დატვირთვა შეიცავს კარიბჭეს, ავთენტიფიკაციის მეთოდს, მარშრუტებსა და DNS-ს და ინსტალირდება მოწყობილობის ან მომხმარებლის არხით იმის მიხედვით, თუ როგორ არის Mac რეგისტრირებული. მეორე გზა თვითმომსახურების ინსტალატორია: მომხმარებელი უშვებს დამტკიცებულ პაკეტს, რომელიც ათავსებს კლიენტს და მის ნაცვლად წერს კავშირს. ეს მუშაობს მაშინ, როცა მართვის რეგისტრაცია არ არის, მაგრამ ორგანიზაციას მაინც სურს განმეორებადი და გადამოწმებადი კონფიგურაცია. მესამე გზაა, რომ მომხმარებელმა კავშირი ხელით შექმნას სისტემის პარამეტრებში, გამოქვეყნებული მნიშვნელობების მიხედვით. ის ყველაზე იაფია დასაწყებად და ყველაზე ძვირი მხარდასაჭერად, რადგან კლიენტის მხარეს ყოველი შეცდომა დახმარების სამსახურთან ზარად იქცევა, ყოველი ცვლილება კი ჩანაწერად.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

წაიკითხეთ პირველი სია, რომ ნახოთ რომელი კავშირები არსებობს და ვის ეკუთვნის, ხოლო დანარჩენი ორი იმისთვის, თუ რა დაყენდა პოლიტიკად. პროფილი, რომელიც არც ერთ სიაში არ ჩანს, არ ჩამოსულა, რაც არ უნდა უთხრეს მომხმარებელს.

გადაწყვიტეთ მოწყობილობის საკუთრებით, არა თანამდებობით

ორგანიზაციის საკუთრებაში არსებული Mac ჩვეულებრივ ამართლებს პირველ გზას, რადგან იგივე არხი, რომელიც VPN-ს აწვდის, შეუძლია მისი წაშლაც, და მომხმარებელი ვერ შეცვლის კავშირს ჩუმად. აირჩიეთ მოწყობილობის არხი, როცა გვირაბი უნდა არსებობდეს ნებისმიერი მომხმარებლის შესვლამდე, და მომხმარებლის არხი, როცა კავშირი პიროვნებას ეკუთვნის. პირადი საკუთრების Mac კორპორატიული სერვისით ჩვეულებრივ მიუთითებს მეორე გზაზე. ორგანიზაცია ვერ მართავს მოწყობილობას, ამიტომ ინსტალატორი უნდა იყოს პატარა, შექცევადი და საკმარისად დოკუმენტირებული, რომ მომხმარებელმა შეძლოს მისი გაუქმება.

მესამე გზა გონივრული რჩება სტაბილური კონფიგურაციის მქონე რამდენიმე ტექნიკური მომხმარებლისა და მათთვის, ვინც კარიბჭეს განლაგებამდე ამოწმებს. ამ მასშტაბზე დაბლა ის ხდება ხელით აკრეფილი პარამეტრების შეუმოწმებელი ნაკრები, რომლის ინვენტარიზაცია არავის შეუძლია.

გამოყავით პროფილი ანგარიშისგან

ლოკალური კავშირის პროფილი ამბობს, როგორ მივაღწიოთ კარიბჭეს. კარიბჭეზე ავტორიზებული ანგარიში ამბობს, შეუძლია თუ არა დამრეკს შესვლა. მათ სხვადასხვა ადამიანი ამზადებს და სხვადასხვა მიზეზით აუქმებს, ამიტომ არასოდეს მოექეცით პროფილს როგორც ავტორიზაციას. სერტიფიკატები მათ შორისაა. პროფილთან ერთად მიწოდებული სერტიფიკატი ადასტურებს მოწყობილობას ან მომხმარებელს, და კარიბჭეზე მისი გაუქმება წყვეტს წვდომას, თუნდაც პროფილი დისკზე დარჩეს. მხოლოდ პაროლზე დაფუძნებული დიზაინი სამაგიეროდ ანგარიშის სასიცოცხლო ციკლს ეყრდნობა, ამიტომ გადაცემის ჩანაწერმა უნდა თქვას, ორიდან რომელი მოქმედებს.

ასევე გადაწყვიტეთ, კლიენტი სისტემური VPN-ია თუ გვირაბი თითოეული აპლიკაციისთვის. თითოეული აპლიკაციის დიზაინი მხოლოდ არჩეულ აპლიკაციებს მარშრუტავს და დამოკიდებულია იმაზე, უჭერს თუ არა კლიენტი ამ მოდელს გამოყენებულ macOS ვერსიაზე, ამიტომ შეამოწმეთ საცდელ მანქანაზე და ნუ ჩათვლით, რომ პარამეტრი თან წავა.

გადასცეთ ადმინისტრატორის პაროლის გარეშე

მომხმარებელმა უნდა დაიწყოს კავშირი, შევიდეს და პაროლის შეცვლის შემდეგ აღდგეს. არც ერთი მათგანი არ მოითხოვს ადმინისტრატორის ანგარიშს და არც ერთი არ ამართლებს სერტიფიკატების ჩადგმას სკრიპტში, Automator მოქმედებაში ან ხელმოწერილი პაკეტის ინსტალაციის შემდგომ საფეხურში.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

პირველი ორი ბრძანება მომხმარებლის დონის ოპერაციებია, რომლებშიც დახმარების სამსახურს შეუძლია ვინმეს გატარება. მესამე კითხულობს გვირაბის ბოლო აქტივობას, როცა კავშირი ფარცხდება, და სწორედ ესაა მოსათხოვარი მასალა შეცდომის დიალოგის ეკრანის სურათის ნაცვლად.

თუ რომელიმე საფეხური კვლავ ადმინისტრატორის დადასტურებას მოითხოვს, ეს მიწოდების ხარვეზია: დააბრუნეთ ზუსტი მოთხოვნა პროფილის მფლობელთან და ნუ გასცემთ ანგარიშს უფრო მეტი უფლებით, ვიდრე დავალებას სჭირდება.

შედით როგორც სტანდარტული მომხმარებელი და შემდეგ დაწერეთ გასვლა

შედით სტანდარტული ანგარიშით, დაუკავშირდით, მიაღწიეთ სასურველ შიდა ჰოსტს, მიეცით Mac-ს ძილის საშუალება, გააღვიძეთ და დაადასტურეთ ხელახალი დაკავშირება. გაიმეორეთ პაროლის შეცვლის შემდეგ, რადგან სწორედ იქ ფარცხდება სინამდვილეში ამ განლაგებათა ნახევარი. დაწერეთ აღდგენის გზა მანამ, სანამ პირველ მომხმარებელს დასჭირდება: რა უნდა გააკეთოთ, როცა პროფილი აკლია, როცა სერტიფიკატის ვადა გავიდა და როცა კარიბჭე უარყოფს სხვაგვარად სწორ შესვლას. შეინახეთ ეს სამი პასუხი იქ, სადაც დახმარების სამსახური იპოვის.

და ბოლოს, დაგეგმეთ წაშლა. VPN, რომლის წაშლა მიმავალი მომხმარებლის Mac-იდან ერთ ოპერაციაში შეუძლებელია, წვდომის აუდიტის ის დაკვირვებაა, რომელიც ახლა მოხდება.