Standartinis „Mac“ naudotojas su valdomu VPN: ką turi prisiimti IT

Standartinės „macOS“ paskyros gali visą dieną naudoti įmonės VPN, o IT išlaiko kiekvieną privilegijuotą operaciją. Pasiekti tai yra pristatymo sprendimas, o ne ginčas dėl teisių: pasirinkite, kas įdiegs klientą, kas sukurs ryšį ir ką naudotojas gali keisti. Trys keliai apima beveik visus atvejus, ir kiekvienas nepavyksta savaip. Pasirinkite kelią pagal įrenginio nuosavybę ir kredencialų tipą, tada išbandykite jį kaip standartinis naudotojas, o ne kaip jūs pats.

Trys pristatymo keliai ir ką kiekvienas nusprendžia

Pirmasis kelias yra valdomas konfigūracijos profilis, kurį pateikia organizacijos įrenginių valdymas. VPN turinys perneša šliuzą, autentifikavimo metodą, maršrutus ir DNS, ir įdiegiamas per įrenginio arba naudotojo kanalą, priklausomai nuo to, kaip „Mac“ užregistruotas. Antrasis kelias yra savitarnos diegimo programa: naudotojas paleidžia patvirtintą paketą, kuris įdeda klientą ir vietoj jo įrašo ryšį. Tai veikia, kai nėra valdymo registracijos, bet organizacija vis tiek nori pakartojamos ir peržiūrimos konfigūracijos. Trečiasis kelias yra naudotojas rankiniu būdu sukuria ryšį sistemos nustatymuose, vadovaudamasis paskelbtomis reikšmėmis. Tai pigiausia pradėti ir brangiausia palaikyti, nes kiekviena kliento pusės klaida tampa skambučiu į pagalbos tarnybą, o kiekvienas pakeitimas – rašteliu.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Perskaitykite pirmąjį sąrašą, kad pamatytumėte, kokie ryšiai egzistuoja ir kam jie priklauso, o kitus du – kas buvo įdiegta kaip politika. Profilis, kurio nėra nė viename sąraše, neatvyko, kad ir ką naudotojui būtų sakę.

Spręskite pagal įrenginio nuosavybę, ne pagal pareigas

Organizacijai priklausantis „Mac“ paprastai pateisina pirmąjį kelią, nes tas pats kanalas, kuris pristato VPN, gali jį ir pašalinti, o naudotojas negali tyliai redaguoti ryšio. Pasirinkite įrenginio kanalą, kai tunelis turi egzistuoti prieš prisijungiant bet kuriam naudotojui, ir naudotojo kanalą, kai ryšys priklauso asmeniui. Asmeninis „Mac“ su įmonės paslauga paprastai rodo į antrąjį kelią. Organizacija negali valdyti įrenginio, todėl diegimo programa turi būti maža, atšaukiama ir pakankamai dokumentuota, kad naudotojas galėtų ją atšaukti.

Trečiasis kelias išlieka pagrįstas keliems techniniams naudotojams su stabilia sąranka ir tiems, kurie prieš diegimą testuoja šliuzą. Žemiau šio masto jis tampa neaudituotu ranka įvestų nustatymų rinkiniu, kurio niekas negali suinventorizuoti.

Atskirkite profilį nuo paskyros

Vietinis ryšio profilis nurodo, kaip pasiekti šliuzą. Šliuze autorizuota paskyra nurodo, ar skambinantysis gali įeiti. Juos paruošia skirtingi žmonės ir panaikina dėl skirtingų priežasčių, todėl niekada nelaikykite profilio autorizacija. Sertifikatai yra tarp jų. Su profiliu pateiktas sertifikatas autentifikuoja įrenginį arba naudotoją, o jo panaikinimas šliuze nutraukia prieigą, net jei profilis lieka diske. Tik slaptažodžiu paremtas sprendimas remiasi paskyros gyvavimo ciklu, todėl perdavimo raštelyje turi būti nurodyta, kuris iš dviejų veikia.

Taip pat nuspręskite, ar klientas yra sisteminis VPN, ar tunelis kiekvienai programai. Kiekvienos programos sprendimas maršrutizuoja tik pasirinktas programas, ir tai priklauso nuo to, ar klientas palaiko tą modelį naudojamoje „macOS“ versijoje, todėl patikrinkite bandomojoje mašinoje, o ne manykite, kad nustatymas keliaus kartu.

Perduokite be administratoriaus slaptažodžio

Naudotojui reikia pradėti ryšį, prisijungti ir atsigauti po slaptažodžio pakeitimo. Nė vienas iš jų nereikalauja administratoriaus paskyros, ir nė vienas nepateisina kredencialų įterpimo į scenarijų, „Automator“ veiksmą ar pasirašyto paketo diegimo po veiksmo.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Pirmosios dvi komandos yra naudotojo lygio operacijos, per kurias pagalbos tarnyba gali ką nors vesti. Trečioji nuskaito naujausią tunelio veiklą, kai ryšys nepavyksta, ir tai yra artefaktas, kurio reikia prašyti vietoj klaidos dialogo ekrano kopijos.

Jei kuris nors veiksmas vis dar reikalauja administratoriaus patvirtinimo, tai pristatymo defektas: grąžinkite tikslų raginimą profilio savininkui, o ne išduokite paskyrą su didesniais įgaliojimais, nei reikia užduočiai.

Prisijunkite kaip standartinis naudotojas, tada aprašykite išėjimą

Prisijunkite standartine paskyra, prisijunkite prie tinklo, pasiekite numatytą vidinį mazgą, leiskite „Mac“ užmigti, pažadinkite ir patvirtinkite prisijungimą iš naujo. Pakartokite po slaptažodžio pakeitimo, nes būtent ten pusė šių diegimų iš tikrųjų nepavyksta. Užrašykite atkūrimo kelią, kol jo dar neprireikė pirmajam naudotojui: ką daryti, kai trūksta profilio, kai sertifikatas pasibaigė ir kai šliuzas atmeta kitaip galiojantį prisijungimą. Laikykite tuos tris atsakymus ten, kur pagalbos tarnyba gali juos rasti.

Galiausiai suplanuokite pašalinimą. VPN, kurio negalima pašalinti iš išvykstančio naudotojo „Mac“ vienu veiksmu, yra prieigos peržiūros radinys, kuris tuoj įvyks.