macOS의 FortiClient: 관리형인지 수동인지, 그리고 무엇을 수집할지

FortiClient 설정은 가장 먼저 보이는 VPN 버튼이 아니라 가입하는 서비스에서 시작됩니다. 관리형 기업 Mac과 개인이 구성한 클라이언트는 서로 다른 설치 프로그램, 다른 정책 소유자, 다른 등록 단계가 필요할 수 있습니다. 이 모델을 먼저 결정하면 잘못된 패키지를 설치하는 한 시간을 절약할 수 있습니다.

먼저 소유 모델을 결정하십시오

조직이 FortiClient EMS를 운영하고 연결, 프로필, 보안 모듈을 중앙에서 프로비저닝하려는 경우 관리형을 선택하십시오. 관리자가 계정과 기기에 수동 구성을 허용한다고 확인한 경우에만 수동을 선택하십시오. 선택을 기록하고 기기 기록과 함께 보관하십시오. 나중에 변경하는 것은 재등록이며 확인란이 아닙니다.

두 모델은 나중에 서로 바꿀 수 없습니다. 관리형 프로필은 잠길 수 있으며, 수동 제어를 노출하려고 관리를 제거하는 것은 문제 해결로 위장한 정책 변경입니다. 잠긴 프로필이 필요한 연결을 막는다면 그것은 소유자와의 대화이지 로컬 우회가 아닙니다.

연결 계약을 수집하십시오

설치 전에 VPN 프로토콜, 게이트웨이 호스트 이름, 기본이 아닌 포트, 인증 방법, 관련 인증서 또는 토큰이라는 다섯 가지 입력을 수집하십시오. EMS가 연결을 제공하는지 아니면 직접 수동으로 구성하는지도 확인하십시오.

계정 로그인, 클라이언트 인증서 ID, 등록 토큰을 분리해 두십시오. 같은 워크플로에 나타나더라도 상호 교환 가능한 자격 증명은 아닙니다. 배포 지침이 해당 형식을 명시적으로 요구하지 않는 한 전체 브라우저 로그인 URL을 게이트웨이 필드에 붙여 넣지 마십시오.

프로토콜을 게이트웨이 릴리스에 맞추십시오

어떤 프로토콜을 사용할 수 있는지는 클라이언트 메뉴가 아니라 게이트웨이 소프트웨어가 결정합니다. Fortinet은 FortiOS 7.6.3 이후 버전이 더 이상 SSL VPN 터널 모드를 지원하지 않는다고 문서화하므로 오래된 SSL-VPN 안내서는 관리자의 현재 지침을 대신하지 못합니다. 프로토콜을 선택하기 전에 게이트웨이가 어떤 모드를 제공하는지 물어보십시오. 연결 메모에 모드를 기록하십시오. 다음 사람에게 필요합니다.

지원되는 SSL-VPN 배포에서 FortiClient의 문서화된 형식은 연결 이름, Remote Gateway, 선택적 사용자 지정 포트를 사용합니다. IPsec에는 자체 설정이 있으며 이를 선택하는 것은 SSL 프로필의 변환이 아닙니다. 둘 사이에서 필드를 복사하면 구성된 것처럼 보이지만 절대 완료되지 않는 연결이 만들어집니다.

설치하고 승인하고 프로비저닝하십시오

의도한 배포용으로 승인된 설치 프로그램을 실행한 다음 요청되는 macOS 승인을 완료하십시오. 시스템 확장과 VPN 구성을 승인할 때는 권한 레이블과 위치가 macOS 릴리스마다 바뀌므로 게시자와 요청된 구성 요소를 확인해야 하며, 오래된 스크린샷은 시동 보안을 약화할 이유가 아닙니다.

Mac이 관리형이라면 승인된 정책이 연결을 제공하도록 두고 덮어쓰지 마십시오. 수동 설정이 허용되면 Remote Access를 열고 수집한 계약을 입력하십시오. 그런 다음 브라우저 Single Sign-On이나 두 번째 요소를 포함해 제공된 인증 흐름으로 연결하고, 예기치 않은 인증서 경고를 클릭해 넘어가는 대신 서버 ID를 검증하십시오.

리소스를 검증하십시오, 녹색 아이콘이 아니라

터널이 올라오면 승인된 프라이빗 앱을 열고 내부 이름이 예상대로 확인되는지 확인하십시오. 연결됨 표시는 모든 경로나 DNS 도메인이 프로비저닝되었다는 증거가 아니며, 필요한 앱에 접근할 수 있다는 증거도 결코 아닙니다.

FortiClient 연결 가이드 는 버전별로 제공되므로 설치된 패키지와 일치하는 판을 읽으십시오. 설정이 실패하면 클라이언트 빌드, macOS 버전, 프로필 ID, 시간, 첫 번째 의미 있는 오류를 보고하고 내보낸 비밀과 개인 키는 보고서에 넣지 마십시오.

성공적인 설정은 승인된 클라이언트, 정책 소유자, 인증 방법, 리소스 경로가 모두 일치한다는 뜻입니다. 모든 Mac에 모든 보안 모듈이 필요하다거나 모든 권한 요청을 읽지 않고 수락해야 한다는 뜻은 아닙니다.