Normale Mac-Benotzer mat engem geréierten VPN: wat d’IT misst iwwerhuelen

Normal macOS-Konte kënnen de ganzen Dag eng Betribs-VPN bedreiwen, während d’IT all privilegiéiert Operatioun behält. Fir dohinner ze kommen ass eng Liwwerentscheedung, keng Rechterdiskussioun: wielt wien de Client installéiert, wien d’Verbindung schreift a wat de Benotzer däerf änneren. Dräi Weeër decke bal all Fall of, an all eenzele feelt op eng aner Manéier. Wielt de Wee no Eegentum vum Apparat an no der Zort vun Noutweis, a testt en duerno als normale Benotzer an net als Iech selwer.

Dräi Liwwerweeër a wat jidderee klärt

Den éischte Wee ass e geréierte Konfiguratiounsprofil, deen d’Apparategestioun vun der Organisatioun liwwert. D’VPN-Lascht dréit de Gateway, d’Authentifikatiounsmethod, d’Routen an den DNS, an se gëtt iwwer den Apparat- oder Benotzerkanal installéiert, jee nodeem wéi de Mac ageschriwwen ass. Den zweete Wee ass e Self-Service-Installateur: de Benotzer fiert e genehmegte Paket aus, deen de Client placéiert an d’Verbindung fir hie schreift. Dat funktionéiert, wann et keng Gestiounsinschreiwung gëtt, d’Organisatioun awer nach ëmmer eng widderhuelbar an iwwerpréifbar Konfiguratioun wëllt. Den drëtte Wee ass, datt de Benotzer d’Verbindung vun Hand an den Systemastellungen uleet, no publizéierte Wäerter. Et ass dee bëllegste fir unzefänken an dee deierste fir z’ënnerstëtzen, well all Feeler op der Clientsäit en Uruff bei den Helpdesk gëtt an all Ännerung eng Notiz.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Liest déi éischt Lëscht, fir ze gesinn wéi eng Verbindungen et gëtt a wiem se gehéieren, an déi aner zwou, fir ze gesinn wat als Richtlinn installéiert gouf. E Profil, deen an kenger Lëscht erschéngt, ass net ukomm, egal wat dem Benotzer gesot gouf.

Entscheet no Eegentum vum Apparat, net no Rang

En Mac am Eegentum vun der Organisatioun justifiéiert normalerweis den éischte Wee, well dee selwechte Kanal, deen d’VPN liwwert, se och ka läschen, an de Benotzer d’Verbindung net heimlech ännere kann. Wielt den Apparatkanal, wann den Tunnel muss existéieren, ier ee Benotzer sech aloggt, an de Benotzerkanal, wann d’Verbindung zu der Persoun gehéiert. En perséinlech eegene Mac mat engem Betribsservice weist normalerweis op den zweete Wee. D’Organisatioun kann den Apparat net geréieren, dofir muss den Installateur kleng, ëmdréibar an esou gutt dokumentéiert sinn, datt de Benotzer en zeréckzitt.

Den drëtte Wee bleift vernünfteg fir eng Handvoll technesch Benotzer mat enger stabiler Astellung an ausserdeem fir jiddereen, deen e Gateway virun der Aféierung testt. Ënner dëser Skala gëtt en eng net auditst Sammlung vun handgetippte Astellungen, déi keen inventariséiere kann.

Trennt de Profil vun der Konto

E lokale Verbindungsprofil seet, wéi een de Gateway erreecht. Eng Konto, déi um Gateway autoriséiert ass, seet, ob deen, deen urifft, erakann. Se ginn vun ënnerschiddleche Leit geliwwert a aus ënnerschiddleche Grënn zréckgezunn, also behandelt de Profil ni als d’Autorisatioun. Zertifikater stinn dertëschent. En Zertifikat, dat mam Profil geliwwert gëtt, authentifizéiert den Apparat oder de Benotzer, an et zréckzezéien um Gateway hält den Zougang op, och wann de Profil um Disk bleift. En Design just mat Passwuert stäipt sech amplaz op de Liewenszyklus vun der Konto, dofir muss d’Iwwerhuelungsnotiz soen, wéien vun den zwéin am Spill ass.

Entscheet och, ob de Client eng System-VPN oder en Tunnel pro App ass. En Design pro App leet just déi gewielten Applikatiounen ëm, an et hänkt dovun of, ob de Client dat Modell op der benotzter macOS-Versioun ënnerstëtzt, also iwwerpréift et op enger Pilotsmaschinn, amplaz ze u huelen, datt d’Astellung matgeet.

Gitt ouni Administrateurspasswuert weider

De Benotzer muss d’Verbindung starten, sech aloggen a sech no enger Passwuertännerung erhuelen. Näischt dovun erfuerdert eng Administrateurskonto, an näischt dovun justifiéiert et, Noutweisen an engem Skript, enger Automator-Aktioun oder engem Postinstall-Schrëtt vun engem ënnerschriwwene Paket ze vergruewen.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Déi éischt zwou Kommandoen sinn Operatiounen op Benotzerniveau, duerch déi en Helpdesk ee kéint guidéieren. Déi drëtt liest déi rezent Tunnelaktivitéit, wann eng Verbindung feelt, an dat ass dat Artefakt, dat ee soll ufroen, amplaz engem Screenshot vun engem Feelerdialog.

Wann e Schrëtt nach ëmmer eng Administrateursgenehmegung verlaangt, ass dat e Liwwerfeeler: schéckt déi genau Ufro zréck un den Eegentemer vum Profil, amplaz eng Konto mat méi Autoritéit auszeginn, wéi d’Aufgab brauch.

Loggt Iech als normale Benotzer an a schreift dann den Ausgang

Loggt Iech mat der normaler Konto an, verbënnt, erreecht den ugedaachten internen Host, loosst den Mac schlofen, erwächt en a bestätegt d’Reconnectioun. Widderhielt dat no enger Passwuertännerung, well genau do feelt d’Halschent vun dësen Aféierungen tatsächlech. Schreift den Erhuelungswee op, ier den éischte Benotzer en brauch: wat ze maachen, wann de Profil feelt, wann den Zertifikat ofgelaf ass an wann de Gateway eng soss gülteg Aloggen ofleent. Hält déi dräi Äntwerten do, wou den Helpdesk se ka fannen.

Zum Schluss plangt d’Ewechhuelen. Eng VPN, déi een net an enger eenzeger Operatioun vum Mac vun engem fortgoende Benotzer ewechhuelen kann, ass eng Feststellung vun enger Zougangspréifung, déi grad geschitt.