FortiClient på macOS: administrert eller manuell, og hva du bør samle inn

Oppsettet av FortiClient begynner med tjenesten du kobler deg til, ikke med VPN-knappen som vises først. En administrert bedrifts-Mac og en personlig konfigurert klient kan trenge ulike installasjonsprogrammer, ulike policyeiere og ulike registreringstrinn. Å bestemme denne modellen først sparer en time med å installere feil pakke.

Bestem eierskapsmodellen først

Velg administrert når organisasjonen kjører FortiClient EMS og forventer å klargjøre tilkoblinger, profiler og sikkerhetsmoduler sentralt. Velg manuell bare når administratoren bekrefter at manuell konfigurasjon er tillatt for kontoen og enheten din. Skriv ned valget og oppbevar det sammen med enhetsregistreringen. Å endre det senere er en nyregistrering, ikke en avkrysningsboks.

De to modellene kan ikke byttes ut i ettertid. En administrert profil kan låses, og å fjerne administrasjonen for å eksponere manuelle kontroller er en policyendring forkledd som feilsøking. Hvis en låst profil blokkerer tilkoblingen du trenger, er det en samtale med eieren, ikke en lokal omvei.

Samle inn tilkoblingskontrakten

Før installasjonen bør du samle inn fem inndata: VPN-protokollen, vertsnavnet til gatewayen, en eventuell ikke-standard port, autentiseringsmetoden og sertifikatene eller tokenene som er involvert. Bekreft også om EMS klargjør tilkoblingen eller om du konfigurerer den manuelt.

Hold kontopålogging, en klient sertifikatidentitet og et registreringstoken atskilt. De kan forekomme i samme arbeidsflyt uten å være utskiftbare legitimasjoner. Ikke lim inn en full nettleserinnloggings-URL i et gateway-felt, med mindre distribusjonsinstruksjonene eksplisitt ber om det formatet.

Tilpass protokollen til gateway-versjonen

Det er gateway-programvaren som bestemmer hvilke protokoller som er tilgjengelige, ikke klientmenyen. Fortinet dokumenterer at FortiOS 7.6.3 og nyere ikke lenger støtter SSL VPN tunneltilstand, så en eldre SSL-VPN-veiledning erstatter ikke administratorens gjeldende instruksjoner. Spør hvilken modus gatewayen betjener før du velger protokoll. Noter modusen i tilkoblingsnotatene. Den neste personen vil trenge det.

I en støttet SSL-VPN-distribusjon bruker FortiClients dokumenterte form et tilkoblingsnavn, en Remote Gateway og en valgfri tilpasset port. IPsec har sine egne innstillinger, og å velge det er ikke en konvertering av en SSL-profil. Kopiering av felt mellom de to gir en tilkobling som ser konfigurert ut og aldri fullføres.

Installer, godkjenn, klargjør

Kjør det godkjente installasjonsprogrammet for den tiltenkte distribusjonen, og fullfør deretter macOS-godkjenningene det ber om. Bekreft utgiveren og den forespurte komponenten mens du godkjenner systemutvidelsen og VPN-konfigurasjonen, fordi tillatelsesetiketter og -plasseringer endres mellom macOS-versjoner og et gammelt skjermbilde er ikke grunn til å svekke oppstartsikkerheten.

Hvis Macen er administrert, la den autoriserte policyen levere tilkoblingen og ikke overskriv den. Hvis manuelt oppsett er tillatt, åpne Remote Access og skriv inn kontrakten du samlet inn. Koble deretter til med den leverte autentiseringsflyten, inkludert eventuell nettleserbasert enkeltpålogging eller annen faktor, og valider serverens identitet i stedet for å klikke gjennom en uventet sertifikatadvarsel.

Bekreft ressursen, ikke det grønne ikonet

Når tunnelen er oppe, åpne det autoriserte private programmet og bekreft at dets interne navn løses som forventet. En tilkoblet-indikator er ikke bevis for at hver rute eller DNS-domene er klargjort, og absolutt ikke bevis for at programmet du trenger er tilgjengelig.

FortiClient-tilkoblingsveiledningen er versjonert, så les utgivelsen som passer til den installerte pakken. Hvis oppsettet mislykkes, rapporter klientbuilden, macOS-versjonen, profilidentiteten, tidspunktet og den første meningsfulle feilen, og hold eksporterte hemmeligheter og private nøkler utenfor rapporten.

Vellykket oppsett betyr at den godkjente klienten, policyeieren, autentiseringsmetoden og ressursbanen alle stemmer overens. Det betyr ikke at hver Mac trenger hver sikkerhetsmodul, eller at hver tillatelsesforespørsel bør godtas uten å leses.