Стандарден Mac корисник со управуван VPN: што треба да преземе ИТ

Стандардните macOS сметки можат цел ден да работат корпоративен VPN, додека ИТ ја задржува секоја привилегирана операција. Да се стигне таму е одлука за испорака, не расправа за дозволи: изберете кој го инсталира клиентот, кој ја пишува врската и што смее корисникот да менува. Три патеки покриваат речиси секој случај, и секоја пропаѓа на различен начин. Изберете ја патеката според сопственоста на уредот и типот на акредитиви, потоа тестирајте ја како стандарден корисник, а не како себе.

Три патеки на испорака и што решава секоја

Првата патека е управуван конфигурациски профил што го доставува системот за управување со уреди на организацијата. VPN товарот ги носи портата, методот за автентикација, рутите и DNS, и се инсталира преку каналот на уредот или корисникот зависно од тоа како е регистриран Mac-от. Втората патека е самостоен инсталатер: корисникот извршува одобрен пакет што го поставува клиентот и ја пишува врската наместо него. Тоа работи кога нема регистрација за управување, но организацијата сѐ уште сака конфигурација што може да се повтори и прегледа. Третата патека е корисникот рачно да ја создаде врската во системските поставки, следејќи објавени вредности. Таа е најевтина за почеток и најскапа за поддршка, бидејќи секоја грешка на страната на клиентот станува повик до службата за поддршка, а секоја промена белешка.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Прочитајте го првиот список за да видите кои врски постојат и кому му припаѓаат, а другите два за да видите што е инсталирано како политика. Профил што не се појавува на ниту еден список не пристигнал, што и да му е кажано на корисникот.

Одлучете според сопственоста на уредот, не според стажот

Mac во сопственост на организацијата обично ја оправдува првата патека, бидејќи истиот канал што го доставува VPN-от може и да го отстрани, а корисникот не може тивко да ја уредува врската. Изберете го каналот на уредот кога тунелот мора да постои пред да се најави кој било корисник, и каналот на корисникот кога врската му припаѓа на лицето. Личен Mac со корпоративна услуга обично укажува на втората патека. Организацијата не може да управува со уредот, затоа инсталатерот мора да биде мал, повратен и доволно документиран за корисникот да може да го откаже.

Третата патека останува разумна за неколку технички корисници со стабилно поставување и за секој што ја тестира портата пред распоредување. Под тој обем таа станува неревидиран збир рачно внесени поставки што никој не може да ги попише.

Одвојте го профилот од сметката

Локалниот профил за врска кажува како да се стигне до портата. Сметка овластена на портата кажува дали повикувачот смее да влезе. Нив ги обезбедуваат различни луѓе и ги отповикуваат од различни причини, затоа никогаш не третирајте го профилот како авторизација. Сертификатите стојат помеѓу. Сертификат доставен со профилот го автентицира уредот или корисникот, а неговото отповикување на портата го прекинува пристапот дури и ако профилот остане на дискот. Дизајнот само со лозинка се потпира на животниот циклус на сметката, затоа белешката за предавање мора да каже кое од двете е во игра.

Одлучете и дали клиентот е системски VPN или тунел по апликација. Дизајнот по апликација насочува само избрани апликации, и зависи од тоа дали клиентот го поддржува тој модел на користената macOS верзија, затоа проверете го на пробна машина наместо да претпоставите дека поставката патува.

Предадете без администраторска лозинка

Корисникот треба да ја започне врската, да се најави и да се опорави по промена на лозинка. Ниту едно од тоа не бара администраторска сметка, и ниту едно не оправдува вградување акредитиви во скрипта, Automator дејство или чекор по инсталација на потпишан пакет.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Првите две команди се операции на ниво на корисник низ кои службата за поддршка може да некого да води. Третата чита неодамнешна активност на тунелот кога врската пропаѓа, и тоа е артефактот што треба да се побара наместо слика од екранот на дијалог за грешка.

Ако некој чекор сѐ уште бара администраторско одобрување, тоа е дефект во испораката: вратете го точното барање до сопственикот на профилот наместо да издадете сметка со поголеми овластувања отколку што и треба на задачата.

Најавете се како стандарден корисник, потоа запишете го излезот

Најавете се со стандардната сметка, поврзете се, стигнете до предвидениот внатрешен домаќин, оставете Mac-от да заспие, разбудете го и потврдете повторното поврзување. Повторете по промена на лозинка, бидејќи токму таму половина од овие распоредувања навистина пропаѓаат. Запишете ја патеката за обнова пред да им треба на првиот корисник: што да се прави кога профилот недостасува, кога сертификатот истекол и кога портата одбива инаку валидна најава. Чувајте ги тие три одговори таму каде што службата за поддршка може да ги најде.

На крајот, испланирајте отстранување. VPN што не може да се отстрани од Mac-от на корисник што заминува во една операција е наод од преглед на пристап што претстои.