Басқарылатын VPN бар қарапайым Mac пайдаланушысы: IT не нәрсені өз мойнына алуы керек

Қарапайым macOS тіркелгілері күні бойы корпоративтік VPN-ді іске қоса алады, ал IT әрбір артықшылықты операцияны өзінде ұстайды. Оған жету — жеткізу туралы шешім, құқықтар туралы дау емес: клиентті кім орнататынын, қосылымды кім жазатынын және пайдаланушы нені өзгерте алатынын таңдаңыз. Үш жол барлық дерлік жағдайды қамтиды және әрқайсысы әртүрлі сәтсіздікке ұшырайды. Жолды құрылғының меншігі мен куәлік түріне қарай таңдап, оны өзіңіз емес, қарапайым пайдаланушы ретінде тексеріңіз.

Жеткізудің үш жолы және әрқайсысы нені шешеді

Бірінші жол — ұйымның құрылғыларды басқару жүйесі жеткізетін басқарылатын конфигурация профилі. VPN жүктемесі шлюзді, аутентификация әдісін, маршруттар мен DNS-ті тасымалдайды және Mac қалай тіркелгеніне қарай құрылғы немесе пайдаланушы арнасы арқылы орнатылады. Екінші жол — өзін-өзі қызмет көрсету орнатушысы: пайдаланушы клиентті орналастыратын және оның орнына қосылымды жазатын мақұлданған пакетті іске қосады. Басқару тіркелімі жоқ болса да, ұйым қайталанатын және қарауға болатын конфигурацияны қалағанда бұл жұмыс істейді. Үшінші жол — пайдаланушы жарияланған мәндерді ұстанып, жүйе параметрлерінде қосылымды қолмен жасауы. Оны бастау ең арзан, қолдау ең қымбат, өйткені клиент жағындағы әрбір қате қолдау қызметіне қоңырауға, ал әрбір өзгеріс жазбаға айналады.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Қандай қосылымдар бар және олар кімге тиесілі екенін көру үшін бірінші тізімді, ал саясат ретінде не орнатылғанын көру үшін қалған екеуін оқыңыз. Екі тізімнің ешқайсысында көрінбейтін профиль пайдаланушыға не делінсе де, жеткен жоқ.

Құрылғының меншігі бойынша шешіңіз, лауазым бойынша емес

Ұйымға тиесілі Mac әдетте бірінші жолды ақтайды, өйткені VPN-ді жеткізетін сол арна оны жоя да алады, ал пайдаланушы қосылымды үнсіз өңдей алмайды. Кез келген пайдаланушы кірмес бұрын туннель болуы керек болса, құрылғы арнасын, ал қосылым адамға тиесілі болса, пайдаланушы арнасын таңдаңыз. Корпоративтік қызметі бар жеке меншіктегі Mac әдетте екінші жолды нұсқайды. Ұйым құрылғыны басқара алмайды, сондықтан орнатушы шағын, қайтарылатын және пайдаланушы оны болдырмай алатындай жеткілікті құжатталған болуы керек.

Үшінші жол тұрақты конфигурациясы бар бірнеше техникалық пайдаланушыға және енгізу алдында шлюзді сынайтындарға орынды болып қалады. Осы ауқымнан төмен ол қолмен терілген параметрлердің ешкім түгендей алмайтын тексерілмеген жиынтығына айналады.

Профильді тіркелгіден бөліп ұстаңыз

Жергілікті қосылым профилі шлюзге қалай жету керегін айтады. Шлюзде рұқсат етілген тіркелгі қоңырау шалушының кіре алатынын айтады. Оларды әртүрлі адамдар қамтамасыз етеді және әртүрлі себептермен кері қайтарады, сондықтан профильді ешқашан рұқсат ретінде қарастырмаңыз. Куәліктер осылардың арасында тұрады. Профильмен бірге берілген куәлік құрылғыны немесе пайдаланушыны аутентификациялайды, ал оны шлюзде кері қайтару профиль дискіде қалса да қатынасты тоқтатады. Тек құпиясөзге негізделген дизайн оның орнына тіркелгінің өмірлік цикліне сүйенеді, сондықтан тапсыру жазбасы екеуінің қайсысы әрекетте екенін айтуы керек.

Клиент жүйелік VPN пе әлде әр қолданбаға арналған туннель ме, соны да шешіңіз. Әр қолданбаға арналған дизайн тек таңдалған қолданбаларды маршруттайды және клиенттің пайдаланылып отырған macOS нұсқасында бұл модельді қолдауына тәуелді, сондықтан параметр өзімен бірге жүреді деп болжаудың орнына оны сынақ машинасында тексеріңіз.

Әкімшілік құпиясөзсіз тапсырыңыз

Пайдаланушы қосылымды бастауы, кіруі және құпиясөз өзгергеннен кейін қалпына келуі керек. Осылардың ешқайсысы әкімшілік тіркелгіні қажет етпейді және ешқайсысы куәліктерді скриптке, Automator әрекетіне немесе қол қойылған пакеттің орнатудан кейінгі қадамына енгізуді ақтамайды.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Алғашқы екі команда пайдаланушы деңгейіндегі операциялар, олар арқылы қолдау қызметі біреуді бағыттай алады. Үшіншісі қосылым сәтсіз болғанда туннельдің соңғы белсенділігін оқиды және қате терезесінің скриншотының орнына сұралатын дәл осы материал.

Егер қандай да бір қадам әлі әкімшілік мақұлдауды талап етсе, бұл жеткізу ақауы: тапсырмаға қажеттен артық өкілеттігі бар тіркелгі берудің орнына нақты сұранысты профиль иесіне қайтарыңыз.

Қарапайым пайдаланушы ретінде кіріп, содан кейін шығу жолын жазыңыз

Қарапайым тіркелгімен кіріңіз, қосылыңыз, көзделген ішкі хостқа жетіңіз, Mac ұйықтасын, оятыңыз және қайта қосылуды растаңыз. Құпиясөз өзгергеннен кейін қайталаңыз, өйткені осы енгізулердің жартысы дәл сонда нақты сәтсіздікке ұшырайды. Қалпына келтіру жолын бірінші пайдаланушыға қажет болмай тұрып жазыңыз: профиль жоқ кезде, куәліктің мерзімі біткенде және шлюз өзгеше жарамды кіруді қабылдамағанда не істеу керек. Осы үш жауапты қолдау қызметі таба алатын жерде сақтаңыз.

Соңында жоюды жоспарлаңыз. Бір операцияда кетіп бара жатқан пайдаланушының Mac-інен жою мүмкін емес VPN — жақын арада болатын қатынас тексеруінің тұжырымы.