Удирдлагатай VPN-тэй энгийн Mac хэрэглэгч: IT юуг хариуцах ёстой

Энгийн macOS бүртгэлүүд өдөржингөө корпорацийн VPN ажиллуулж чаддаг бол IT бүх онцгой эрхт үйлдлийг өөртөө хадгална. Тэнд хүрэх нь хүргэлтийн шийдвэр, эрхийн маргаан биш: клиентийг хэн суулгах, холболтыг хэн бичих, хэрэглэгч юу өөрчилж болохыг сонгоорой. Гурван зам бараг бүх тохиолдлыг хамардаг бөгөөд тус бүр өөр өөрөөр бүтэлгүйтдэг. Зам сонгохдоо төхөөрөмжийн эзэмшил, итгэмжлэлийн төрлөөр сонгоод, өөрийн оронд энгийн хэрэглэгчээр шалгаарай.

Хүргэлтийн гурван зам ба тус бүр юуг шийддэг

Эхний зам нь байгууллагын төхөөрөмжийн удирдлагаас хүргэдэг удирдлагатай тохиргооны профайл юм. VPN ачаалал нь гарц, баталгаажуулалтын арга, маршрут, DNS-ийг агуулж, Mac хэрхэн бүртгэгдсэнээс хамаарч төхөөрөмж эсвэл хэрэглэгчийн сувгаар суулгагдана. Хоёр дахь зам нь өөрийн үйлчилгээний суулгагч: хэрэглэгч клиентийг байрлуулж, түүний оронд холболтыг бичдэг зөвшөөрөгдсөн багцыг ажиллуулна. Удирдлагын бүртгэл байхгүй ч байгууллага давтагдах, хянагдах тохиргоог хүсэж байгаа үед энэ ажиллана. Гурав дахь зам нь хэрэглэгч нийтлэгдсэн утгыг дагаж системийн тохиргоонд холболтыг гараар үүсгэх явдал юм. Үүнийг эхлэхэд хамгийн хямд, дэмжихэд хамгийн үнэтэй, учир нь клиентийн талын алдаа бүр тусламжийн төв рүү залгах болж, өөрчлөлт бүр тэмдэглэл болдог.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Ямар холболт байгаа, хэнд хамаарахыг харахын тулд эхний жагсаалтыг, бодлого хэлбэрээр юу суулгасныг харахын тулд нөгөө хоёрыг уншаарай. Аль ч жагсаалтад харагдахгүй профайл, хэрэглэгчид юу гэж хэлсэн ч ирээгүй.

Албан тушаалаар бус, төхөөрөмжийн эзэмшлээр шийдээрэй

Байгууллагын эзэмшлийн Mac ихэвчлэн эхний замыг зөвтгөдөг, учир нь VPN хүргэдэг сувгаар түүнийг устгаж ч болох бөгөөд хэрэглэгч холболтыг чимээгүй засварлаж чадахгүй. Аль нэг хэрэглэгч нэвтрэхээс өмнө туннель байх ёстой бол төхөөрөмжийн суваг, холболт хүнд хамаарах бол хэрэглэгчийн сувгийг сонгоорой. Корпорацийн үйлчилгээтэй хувийн эзэмшлийн Mac ихэвчлэн хоёр дахь замыг заана. Байгууллага төхөөрөмжийг удирдаж чадахгүй тул суулгагч нь жижиг, буцаах боломжтой, хэрэглэгч цуцалж чадахаар баримтжуулсан байх ёстой.

Гурав дахь зам тогтвортой тохиргоотой цөөн техникийн хэрэглэгч болон нэвтрүүлэхээс өмнө гарцыг турших хүмүүст үндэслэлтэй хэвээр байна. Энэ хэмжээнээс доош энэ нь хэн ч бүртгэж чадахгүй гараар бичсэн тохиргооны аудитгүй цуглуулга болдог.

Профайлыг бүртгэлээс тусгаарла

Орон нутгийн холболтын профайл гарцад хэрхэн хүрэхийг хэлнэ. Гарцад зөвшөөрөгдсөн бүртгэл дуудагч орж чадах эсэхийг хэлнэ. Тэдгээрийг өөр өөр хүмүүс хангаж, өөр өөр шалтгаанаар хүчингүй болгодог тул профайлыг хэзээ ч зөвшөөрөл гэж бүү үзээрэй. Гэрчилгээнүүд тэдгээрийн хооронд байрлана. Профайлтай хамт олгогдсон гэрчилгээ нь төхөөрөмж эсвэл хэрэглэгчийг баталгаажуулж, гарцад хүчингүй болгох нь профайл дискэн дээр үлдсэн ч хандалтыг дуусгана. Зөвхөн нууц үгэнд тулгуурласан загвар нь оронд нь бүртгэлийн амьдралын мөчлөгт тулгуурладаг тул шилжүүлгийн тэмдэглэлд хоёрын аль нь үйлчилж байгааг хэлэх ёстой.

Клиент нь системийн VPN уу эсвэл програм тус бүрийн туннель үү гэдгийг ч шийдээрэй. Програм тус бүрийн загвар нь зөвхөн сонгосон програмуудыг чиглүүлдэг бөгөөд ашиглаж буй macOS хувилбар дээр клиент тэр загварыг дэмждэг эсэхээс хамаардаг тул тохиргоо дагаж ирнэ гэж таамаглахын оронд туршилтын машин дээр шалгаарай.

Админы нууц үггүйгээр шилжүүлээрэй

Хэрэглэгч холболтыг эхлүүлж, нэвтэрч, нууц үг солигдсоны дараа сэргэх шаардлагатай. Эдгээрийн аль нь ч админы бүртгэл шаарддаггүй бөгөөд аль нь ч итгэмжлэлийг скрипт, Automator үйлдэл эсвэл гарын үсэгтэй багцын суулгасны дараах алхамд оруулахыг зөвтгөдөггүй.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Эхний хоёр команд нь хэрэглэгчийн түвшний үйлдэл бөгөөд тусламжийн төв хэн нэгнийг дамжуулан чиглүүлж чадна. Гурав дахь нь холболт бүтэлгүйтэх үед туннелийн сүүлийн үеийн идэвхийг уншдаг бөгөөд алдааны цонхны дэлгэцийн зургийн оронд энийг л шаардах ёстой.

Аль нэг алхам админы зөвшөөрөл шаардсаар байвал энэ нь хүргэлтийн алдаа: даалгаварт хэрэгтэйгээс илүү эрхтэй бүртгэл олгохын оронд яг хүсэлтийг профайлын эзэнд буцааж илгээгээрэй.

Энгийн хэрэглэгчээр нэвтэрч, дараа нь гарах замыг бичээрэй

Энгийн бүртгэлээр нэвтэрч, холбогдож, зорьсон дотоод хостод хүрч, Mac-ийг унтуулж, сэрээж, дахин холбогдсоныг баталгаажуулаарай. Нууц үг солигдсоны дараа давтаарай, учир нь эдгээр нэвтрүүлгийн тал нь яг тэнд бодитоор бүтэлгүйтдэг. Эхний хэрэглэгчид хэрэгтэй болохоос өмнө сэргээх замыг бичээрэй: профайл байхгүй үед, гэрчилгээний хугацаа дууссан үед, гарц өөрөөр хүчинтэй нэвтрэлтийг татгалзах үед юу хийх вэ. Тэр гурван хариултыг тусламжийн төв олж чадах газарт хадгалаарай.

Эцэст нь устгахыг төлөвлөөрэй. Нэг үйлдлээр явж буй хэрэглэгчийн Mac-аас устгах болохгүй VPN бол удахгүй болох хандалтын хяналтын дүгнэлт юм.