Pengguna Mac biasa dengan VPN terurus: apa yang IT mesti pikul

Akaun macOS biasa boleh menjalankan VPN korporat sepanjang hari sementara IT menyimpan setiap operasi istimewa. Sampai ke situ ialah keputusan penghantaran, bukan perdebatan tentang kebenaran: pilih siapa yang memasang klien, siapa yang menulis sambungan dan apa yang pengguna boleh ubah. Tiga laluan meliputi hampir setiap kes, dan setiap satu gagal dengan cara berbeza. Pilih laluan berdasarkan pemilikan peranti dan jenis kelayakan, kemudian ujinya sebagai pengguna biasa dan bukan sebagai diri anda.

Tiga laluan penghantaran dan apa yang setiap satu selesaikan

Laluan pertama ialah profil konfigurasi terurus yang dihantar oleh pengurusan peranti organisasi. Muatan VPN membawa get laluan, kaedah pengesahan, laluan dan DNS, dan dipasang melalui saluran peranti atau pengguna bergantung pada cara Mac didaftarkan. Laluan kedua ialah pemasang layan diri: pengguna menjalankan pakej yang diluluskan yang meletakkan klien dan menulis sambungan bagi pihaknya. Ini berfungsi apabila tiada pendaftaran pengurusan tetapi organisasi masih mahu konfigurasi yang boleh diulang dan disemak. Laluan ketiga ialah pengguna mencipta sambungan secara manual dalam Tetapan Sistem, mengikut nilai yang diterbitkan. Ia paling murah untuk dimulakan dan paling mahal untuk disokong, kerana setiap kesilapan di pihak klien menjadi panggilan ke meja bantuan dan setiap perubahan menjadi memo.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Baca senarai pertama untuk melihat sambungan apa yang wujud dan siapa pemiliknya, dan dua lagi untuk melihat apa yang dipasang sebagai dasar. Profil yang tidak muncul dalam mana-mana senarai tidak tiba, apa pun yang dikatakan kepada pengguna.

Putuskan mengikut pemilikan peranti, bukan kekananan

Mac milik organisasi biasanya mewajarkan laluan pertama, kerana saluran yang sama yang menghantar VPN boleh mengeluarkannya, dan pengguna tidak boleh menyunting sambungan secara senyap. Pilih saluran peranti apabila terowong mesti wujud sebelum mana-mana pengguna log masuk, dan saluran pengguna apabila sambungan itu milik orang tersebut. Mac milik sendiri dengan perkhidmatan korporat biasanya menuju ke laluan kedua. Organisasi tidak boleh menguruskan peranti, jadi pemasang mesti kecil, boleh diterbalikkan dan didokumenkan cukup baik supaya pengguna boleh membatalkannya.

Laluan ketiga kekal munasabah untuk segelintir pengguna teknikal dengan persediaan stabil, dan bagi sesiapa yang menguji get laluan sebelum ia dilancarkan. Di bawah skala itu ia menjadi himpunan tetapan yang ditaip tangan tanpa audit yang tiada siapa dapat menyenaraikannya.

Asingkan profil daripada akaun

Profil sambungan setempat menyatakan cara mencapai get laluan. Akaun yang dibenarkan di get laluan menyatakan sama ada pemanggil boleh masuk. Keduanya disediakan oleh orang berbeza dan dibatalkan atas sebab berbeza, jadi jangan sekali-kali menganggap profil itu sebagai kebenaran. Sijil terletak di antaranya. Sijil yang dihantar bersama profil mengesahkan peranti atau pengguna, dan membatalkannya di get laluan menamatkan akses walaupun profil kekal pada cakera. Reka bentuk hanya kata laluan bersandar pada kitaran hayat akaun, sebab itu nota penyerahan mesti menyatakan yang mana antara keduanya sedang berkuat kuasa.

Putuskan juga sama ada klien ialah VPN sistem atau terowong setiap aplikasi. Reka bentuk setiap aplikasi menghalakan hanya aplikasi terpilih, dan ia bergantung pada sama ada klien menyokong model itu pada versi macOS yang digunakan, jadi sahihkannya pada mesin perintis dan bukannya menganggap tetapan itu ikut berpindah.

Serahkan tanpa kata laluan pentadbir

Pengguna perlu memulakan sambungan, log masuk dan pulih selepas perubahan kata laluan. Tiada satu pun daripada itu memerlukan akaun pentadbir, dan tiada satu pun mewajarkan menyemat kelayakan dalam skrip, tindakan Automator atau langkah selepas pemasangan pakej bertandatangan.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Dua arahan pertama ialah operasi peringkat pengguna yang meja bantuan boleh membimbing seseorang melaluinya. Yang ketiga membaca aktiviti terowong terkini apabila sambungan gagal, dan itulah artifak yang perlu diminta dan bukannya tangkapan skrin kotak ralat.

Jika sesuatu langkah masih memerlukan kelulusan pentadbir, itu kecacatan penghantaran: hantar semula gesaan yang tepat kepada pemilik profil dan bukannya mengagihkan akaun dengan kuasa lebih daripada yang diperlukan tugas.

Log masuk sebagai pengguna biasa, kemudian tulis jalan keluar

Log masuk dengan akaun biasa, sambung, capai hos dalaman yang dimaksudkan, biarkan Mac tidur, bangunkan dan sahkan sambungan semula. Ulangi selepas perubahan kata laluan, kerana di situlah separuh daripada penggunaan ini benar-benar gagal. Tulis laluan pemulihan sebelum pengguna pertama memerlukannya: apa yang perlu dilakukan apabila profil tiada, apabila sijil tamat tempoh dan apabila get laluan menolak log masuk yang sebenarnya sah. Simpan ketiga-tiga jawapan itu di tempat meja bantuan boleh menemukannya.

Akhir sekali, rancang penyingkiran. VPN yang tidak boleh disingkirkan dari Mac pengguna yang akan pergi dalam satu operasi ialah penemuan semakan akses yang akan berlaku.