Standarta Mac lietotājs ar pārvaldītu VPN: kas IT jāuzņemas

Standarta macOS konti var visu dienu darbināt uzņēmuma VPN, kamēr IT patur katru privileģēto darbību. Tikt līdz tam ir piegādes lēmums, nevis strīds par atļaujām: izvēlieties, kas instalē klientu, kas raksta savienojumu un ko lietotājs drīkst mainīt. Trīs ceļi aptver gandrīz visus gadījumus, un katrs neizdodas savādāk. Izvēlieties ceļu pēc ierīces īpašumtiesībām un akreditācijas datu veida, pēc tam pārbaudiet to kā standarta lietotājs, nevis kā jūs pats.

Trīs piegādes ceļi un ko katrs nosaka

Pirmais ceļš ir pārvaldīts konfigurācijas profils, ko piegādā organizācijas ierīču pārvaldība. VPN kravā ir vārteja, autentifikācijas metode, maršruti un DNS, un tas tiek instalēts caur ierīces vai lietotāja kanālu atkarībā no tā, kā Mac ir reģistrēts. Otrais ceļš ir pašapkalpošanās instalētājs: lietotājs palaiž apstiprinātu pakotni, kas ievieto klientu un viņa vietā ieraksta savienojumu. Tas darbojas, ja nav pārvaldības reģistrācijas, bet organizācija joprojām vēlas atkārtojamu un pārskatāmu konfigurāciju. Trešais ceļš ir lietotājs ar roku izveido savienojumu sistēmas iestatījumos, ievērojot publicētās vērtības. To ir vislētāk sākt un visdārgāk uzturēt, jo katra klienta puses kļūda kļūst par zvanu palīdzības dienestam, bet katra izmaiņa par piezīmi.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Izlasiet pirmo sarakstu, lai redzētu, kādi savienojumi pastāv un kam tie pieder, un pārējos divus, lai redzētu, kas tika instalēts kā politika. Profils, kas neparādās nevienā sarakstā, nav ieradies, lai ko lietotājam teiktu.

Izlemiet pēc ierīces īpašumtiesībām, nevis pēc stāža

Organizācijai piederošs Mac parasti attaisno pirmo ceļu, jo tas pats kanāls, kas piegādā VPN, var to arī noņemt, un lietotājs nevar klusi rediģēt savienojumu. Izvēlieties ierīces kanālu, ja tunelim jāpastāv pirms jebkura lietotāja pieteikšanās, un lietotāja kanālu, ja savienojums pieder personai. Personīgs Mac ar uzņēmuma pakalpojumu parasti norāda uz otro ceļu. Organizācija nevar pārvaldīt ierīci, tāpēc instalētājam jābūt mazam, atgriezeniskam un pietiekami dokumentētam, lai lietotājs to varētu atcelt.

Trešais ceļš paliek saprātīgs dažiem tehniskiem lietotājiem ar stabilu iestatījumu un tiem, kas pirms ieviešanas pārbauda vārteju. Zem šī mēroga tas kļūst par neauditētu ar roku rakstītu iestatījumu kopumu, ko neviens nevar uzskaitīt.

Atdaliet profilu no konta

Vietējais savienojuma profils nosaka, kā sasniegt vārteju. Vārtējā autorizēts konts nosaka, vai zvanītājs drīkst iekļūt. Tos nodrošina dažādi cilvēki un atsauc dažādu iemeslu dēļ, tāpēc nekad neuzskatiet profilu par autorizāciju. Sertifikāti atrodas starp tiem. Ar profilu piegādāts sertifikāts autentificē ierīci vai lietotāju, un tā atsaukšana vārtējā izbeidz piekļuvi, pat ja profils paliek diskā. Dizains tikai ar paroli balstās uz konta dzīves ciklu, tāpēc nodošanas piezīmē jānorāda, kurš no abiem ir spēkā.

Izlemiet arī, vai klients ir sistēmas VPN vai tunelis katrai lietotnei. Dizains katrai lietotnei maršrutē tikai izvēlētās lietotnes, un tas ir atkarīgs no tā, vai klients atbalsta šo modeli izmantotajā macOS versijā, tāpēc pārbaudiet to izmēģinājuma mašīnā, nevis pieņemiet, ka iestatījums ceļos līdzi.

Nododiet bez administratora paroles

Lietotājam jāsāk savienojums, jāpiesakās un jāatgūstas pēc paroles maiņas. Neviens no tiem neprasa administratora kontu, un neviens neattaisno akreditācijas datu iegulšanu skriptā, Automator darbībā vai parakstītas pakotnes pēcinstalācijas solī.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Pirmās divas komandas ir lietotāja līmeņa darbības, pa kurām palīdzības dienests var kādu vadīt. Trešā nolasa jaunāko tuneļa aktivitāti, kad savienojums neizdodas, un tas ir artefakts, kas jāpieprasa kļūdas dialoga ekrānuzņēmuma vietā.

Ja kāds solis joprojām prasa administratora apstiprinājumu, tas ir piegādes defekts: nosūtiet precīzo uzvedni atpakaļ profila īpašniekam, nevis izsniedziet kontu ar lielākām pilnvarām, nekā uzdevumam vajag.

Piesakieties kā standarta lietotājs un pēc tam aprakstiet izeju

Piesakieties ar standarta kontu, izveidojiet savienojumu, sasniedziet paredzēto iekšējo resursdatoru, ļaujiet Mac aizmigt, pamodiniet to un apstipriniet atkārtotu savienojumu. Atkārtojiet pēc paroles maiņas, jo tieši tur puse no šīm ieviešanām patiešām neizdodas. Pierakstiet atkopšanas ceļu, pirms tas nepieciešams pirmajam lietotājam: ko darīt, ja trūkst profila, ja sertifikāts ir beidzies un ja vārteja noraida citādi derīgu pieteikšanos. Turiet šīs trīs atbildes tur, kur palīdzības dienests tās var atrast.

Visbeidzot, plānojiet noņemšanu. VPN, ko nevar noņemt no aizejoša lietotāja Mac datora vienā darbībā, ir piekļuves pārskatīšanas atradums, kas drīz notiks.