Utent standard tal-Mac b’VPN ġestita: x’għandu jassumi d-dipartiment tal-IT

Kontijiet standard tal-macOS jistgħu jħaddmu VPN korporattiva l-ġurnata kollha waqt li d-dipartiment tal-IT iżomm kull operazzjoni privileġġata. Li tasal hemm hija deċiżjoni ta’ twassil, mhux dibattitu dwar permessi: agħżel min jinstalla l-klijent, min jikteb il-konnessjoni u x’jista’ jbiddel l-utent. Tliet rotot ikopru kważi kull każ, u kull waħda tfalli b’mod differenti. Agħżel ir-rotta skont is-sjieda tal-apparat u t-tip ta’ kredenzjali, imbagħad ippruvaha bħala utent standard u mhux bħala int innifsek.

Tliet rotot ta’ twassil u x’jissolva kull waħda

L-ewwel rotta hija profil ta’ konfigurazzjoni ġestit li jitwassal mill-ġestjoni tal-apparati tal-organizzazzjoni. It-tagħbija tal-VPN iġġorr il-gateway, il-metodu ta’ awtentikazzjoni, ir-rotot u d-DNS, u tiġi installata permezz tal-kanal tal-apparat jew tal-utent skont kif il-Mac hu rreġistrat. It-tieni rotta hija installatur self-service: l-utent iħaddem pakkett approvat li jqiegħed il-klijent u jikteb il-konnessjoni għalih. Dan jaħdem meta ma jkunx hemm reġistrazzjoni tal-ġestjoni imma l-organizzazzjoni xorta trid konfigurazzjoni ripetibbli u reviżabbli. It-tielet rotta hija li l-utent joħloq il-konnessjoni bl-idejn fis-Settings tas-Sistema, billi jsegwi valuri ppubblikati. Hija l-irħas biex tibda u l-aktar għalja biex tappoġġa, għax kull żball fuq in-naħa tal-klijent isir telefonata lid-desk tal-għajnuna u kull bidla ssir nota.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Aqra l-ewwel lista biex tara liema konnessjonijiet jeżistu u ta’ min huma, u t-tnejn l-oħra biex tara x’ġie installat bħala politika. Profil li ma jidhirx fl-ebda lista ma wasalx, tkun xi tkun li ngħad lill-utent.

Iddeċiedi skont is-sjieda tal-apparat, mhux skont is-senjorità

Mac proprjetà tal-organizzazzjoni normalment jiġġustifika l-ewwel rotta, għax l-istess kanal li jwassal il-VPN jista’ jneħħiha, u l-utent ma jistax jeditja l-konnessjoni bil-kwiet. Agħżel il-kanal tal-apparat meta l-mina trid teżisti qabel ma jidħol kwalunkwe utent, u l-kanal tal-utent meta l-konnessjoni hija tal-persuna. Mac proprjetà personali b’servizz korporattiv normalment jindika t-tieni rotta. L-organizzazzjoni ma tistax tamministra l-apparat, għalhekk l-installatur irid ikun żgħir, riversibbli u dokumentat biżżejjed biex l-utent ikun jista’ jħassru.

It-tielet rotta tibqa’ raġonevoli għal numru żgħir ta’ utenti tekniċi b’konfigurazzjoni stabbli, u għal kull min jittestja gateway qabel ma jiġi mqassam. Taħt dak l-iskala ssir sett mhux awditjat ta’ settings miktuba bl-idejn li ħadd ma jista’ jagħmel inventar tagħhom.

Aqsam il-profil mill-kont

Profil tal-konnessjoni lokali jgħid kif tasal għall-gateway. Kont awtorizzat fil-gateway jgħid jekk min iċempel jistax jidħol. Dawn jiġu pprovduti minn nies differenti u revokati għal raġunijiet differenti, għalhekk qatt ma tittratta l-profil bħala l-awtorizzazzjoni. Iċ-ċertifikati jinsabu bejniethom. Ċertifikat imwassal mal-profil jawtentika l-apparat jew l-utent, u r-revoka tiegħu fil-gateway ittemm l-aċċess anke jekk il-profil jibqa’ fuq id-diska. Disinn b’password biss jistrieħ fuq iċ-ċiklu tal-ħajja tal-kont minflok, u għalhekk in-nota tal-għoti trid tgħid liema miż-żewġ hija fis-seħħ.

Iddeċiedi wkoll jekk il-klijent huwiex VPN tas-sistema jew mina għal kull app. Disinn għal kull app jidderieġi biss l-apps magħżula, u jiddependi milli jekk il-klijent jappoġġax dak il-mudell fil-verżjoni tal-macOS li tintuża, għalhekk ivverifika fuq magna pilota minflok tassumi li s-setting tmur magħha.

Għaddi mingħajr password ta’ amministratur

L-utent irid jibda l-konnessjoni, jidħol u jirkupra wara bidla fil-password. Xejn minn dan ma jeħtieġ kont ta’ amministratur, u xejn ma jiġġustifika li l-kredenzjali jiġu inkorporati fi skript, f’azzjoni tal-Automator jew f’pass wara l-installazzjoni ta’ pakkett iffirmat.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

L-ewwel żewġ kmandi huma operazzjonijiet fil-livell tal-utent li desk tal-għajnuna jista’ jmexxi lil xi ħadd minnhom. It-tielet jaqra l-attività reċenti tal-mina meta tonqos konnessjoni, u dak hu l-artefatt li għandu jintalab minflok screenshot ta’ dialog tal-iżball.

Jekk pass għadu jeħtieġ approvazzjoni ta’ amministratur, dak hu difett fit-twassil: ibgħat il-prompt eżatt lura lill-proprjetarju tal-profil minflok tagħti kont b’aktar awtorità milli teħtieġ il-kompitu.

Idħol bħala utent standard, imbagħad ikteb il-ħruġ

Idħol bil-kont standard, qabbad, ilħaq il-host intern maħsub, ħalli l-Mac torqod, qajjem u kkonferma l-ġbid mill-ġdid. Irrepeti wara bidla fil-password, għax hemmhekk tassew tfalli nofs dawn l-implimentazzjonijiet. Ikteb it-triq tal-irkupru qabel ma l-ewwel utent ikollu bżonnha: x’tagħmel meta l-profil ikun nieqes, meta ċ-ċertifikat ikun skada u meta l-gateway jirrifjuta dħul li xort’oħra validu. Żomm dawk it-tliet tweġibiet fejn id-desk tal-għajnuna jista’ jsibhom.

Fl-aħħar, ippjana t-tneħħija. VPN li ma tistax tiġi imneħħija mill-Mac ta’ utent li jkun tielaq f’operazzjoni waħda hija sejba ta’ reviżjoni tal-aċċess li ġejja biex isseħħ.