관리형 VPN을 쓰는 표준 Mac 사용자: IT가 책임져야 할 것

표준 macOS 계정도 IT가 모든 특권 작업을 쥔 채로 회사 VPN을 하루 종일 쓸 수 있습니다. 거기에 이르는 것은 배포 결정이지 권한 논쟁이 아니며, 클라이언트를 누가 설치하고, 연결을 누가 작성하며, 사용자가 무엇을 바꿀 수 있는지 정하는 일입니다. 세 경로가 거의 모든 경우를 덮지만, 실패하는 방식은 각각 다릅니다. 기기 소유권과 자격 증명 유형으로 경로를 고른 뒤, 자신이 아니라 표준 사용자로 시험하십시오.

세 가지 배포 경로와 각각이 정하는 것

첫 경로는 조직의 기기 관리가 배포하는 관리형 구성 프로파일입니다. VPN 페이로드는 게이트웨이, 인증 방식, 경로, DNS를 담고 있으며 Mac이 등록된 방식에 따라 기기 또는 사용자 채널로 설치됩니다. 둘째 경로는 셀프서비스 설치 프로그램으로, 사용자가 승인된 패키지를 실행하면 클라이언트가 배치되고 연결이 대신 작성됩니다. 관리 등록이 없지만 조직이 반복 가능하고 검토 가능한 구성을 원할 때 작동합니다. 셋째 경로는 사용자가 게시된 값을 따라 시스템 설정에서 연결을 직접 만드는 것입니다. 클라이언트 쪽 실수는 모두 헬프데스크 전화가 되고 모든 변경은 메모가 되기 때문에, 시작하기에는 가장 저렴하고 지원하기에는 가장 비쌉니다.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

첫 목록에서 어떤 연결이 있고 누가 소유하는지 보고, 나머지 두 목록에서 정책으로 무엇이 설치되었는지 보십시오. 어느 목록에도 없는 프로파일은 사용자에게 무엇이라 했든 도착하지 않은 것입니다.

직급이 아니라 기기 소유권으로 결정하십시오

조직 소유 Mac은 보통 VPN을 배포하는 같은 채널로 제거할 수 있고 사용자가 연결을 몰래 편집할 수 없기 때문에 첫 경로를 정당화합니다. 어떤 사용자든 로그인하기 전에 터널이 있어야 한다면 기기 채널을, 연결이 개인에게 속한다면 사용자 채널을 고르십시오. 회사 서비스를 쓰는 개인 소유 Mac은 보통 둘째 경로를 가리킵니다. 조직이 기기를 관리할 수 없으므로 설치 프로그램은 작고 되돌릴 수 있으며 사용자가 취소할 수 있을 만큼 문서화되어야 합니다.

셋째 경로는 안정된 설정을 가진 소수 기술 사용자와 배포 전에 게이트웨이를 시험하는 사람에게는 여전히 합리적입니다. 그 규모 아래에서는 아무도 목록화할 수 없는 수작업 설정의 감사되지 않은 집합이 됩니다.

프로파일과 계정을 분리하십시오

로컬 연결 프로파일은 게이트웨이에 도달하는 방법을 말합니다. 게이트웨이에서 권한을 부여받은 계정은 호출자가 들어올 수 있는지 말합니다. 둘은 다른 사람이 마련하고 다른 이유로 철회되므로 프로파일을 권한 부여로 취급하지 마십시오. 인증서는 그 사이에 있습니다. 프로파일과 함께 배포된 인증서는 기기나 사용자를 인증하며, 게이트웨이에서 이를 철회하면 프로파일이 디스크에 남아 있어도 접근이 끝납니다. 암호만 쓰는 설계는 대신 계정 수명 주기에 기대므로, 인계 메모에는 둘 중 어느 것이 작동 중인지 적어야 합니다.

클라이언트가 시스템 VPN인지 앱별 터널인지도 정하십시오. 앱별 설계는 선택한 앱만 라우팅하며 사용 중인 macOS 버전에서 클라이언트가 그 모델을 지원하는지에 달려 있으므로, 설정이 그대로 따라간다고 가정하지 말고 시험 기기에서 확인하십시오.

관리자 암호 없이 인계하십시오

사용자는 연결을 시작하고 로그인하며 암호 변경 후 복구할 수 있어야 합니다. 어느 것도 관리자 계정을 요구하지 않으며, 어느 것도 자격 증명을 스크립트, Automator 동작, 서명된 패키지의 설치 후 단계에 넣는 것을 정당화하지 않습니다.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

처음 두 명령은 헬프데스크가 누군가를 안내할 수 있는 사용자 수준 작업입니다. 셋째는 연결이 실패할 때 최근 터널 활동을 읽으며, 오류 대화상자의 스크린샷 대신 요청해야 할 산출물입니다.

어떤 단계가 여전히 관리자 승인을 요구한다면 그것은 배포 결함이므로, 작업에 필요한 것보다 큰 권한의 계정을 주는 대신 정확한 프롬프트를 프로파일 소유자에게 돌려보내십시오.

표준 사용자로 로그인한 뒤 종료 절차를 작성하십시오

표준 계정으로 로그인하고 연결한 뒤 의도한 내부 호스트에 도달하고, Mac을 재우고 깨워 재연결을 확인하십시오. 이 배포의 절반이 실제로 바로 거기서 실패하기 때문에 암호 변경 후에도 반복하십시오. 첫 사용자가 필요로 하기 전에, 프로파일이 없을 때, 인증서가 만료되었을 때, 게이트웨이가 그 밖에는 유효한 로그인을 거부할 때 무엇을 할지를 복구 경로로 적으십시오. 그 세 답을 헬프데스크가 찾을 수 있는 곳에 두십시오.

마지막으로 제거를 계획하십시오. 한 번의 작업으로 떠나는 사용자의 Mac에서 제거할 수 없는 VPN은 곧 일어날 접근 검토 지적 사항입니다.