Vanlig Mac-bruker med administrert VPN: hva IT må eie

Vanlige macOS-kontoer kan kjøre et bedrifts-VPN hele dagen mens IT beholder hver privilegert operasjon. Å komme dit er en leveringsbeslutning, ikke en rettighetsdiskusjon: velg hvem som installerer klienten, hvem som skriver tilkoblingen og hva brukeren får lov til å endre. Tre veier dekker nesten alle tilfeller, og de feiler på hver sin måte. Velg veien ut fra enhetseierskap og type legitimasjon, og test den deretter som den vanlige brukeren i stedet for som deg selv.

Tre leveringsveier og hva hver av dem avgjør

Veien én er en administrert konfigurasjonsprofil som leveres av organisasjonens enhetsstyring. VPN-nyttelasten inneholder gatewayen, autentiseringsmetoden, rutene og DNS, og den installeres via enhets- eller brukerkanalen avhengig av hvordan Macen er registrert. Veien to er en selvbetjeningsinstallasjon: brukeren kjører en godkjent pakke som plasserer klienten og skriver tilkoblingen for ham. Det virker når det ikke finnes noen styringsregistrering, men organisasjonen fortsatt vil ha en gjentakbar og gjennomgåelig konfigurasjon. Veien tre er at brukeren lager tilkoblingen manuelt i Systeminnstillinger, etter publiserte verdier. Den er billigst å starte og dyrest å støtte, fordi hver feil på klientsiden blir en telefon til helpdesk og hver endring blir et notat.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Les den første listen for å se hvilke tilkoblinger som finnes og hvem som eier dem, og de to andre for å se hva som ble installert som policy. En profil som ikke vises i noen av listene, er ikke ankommet, uansett hva brukeren har fått beskjed om.

Bestem etter enhetseierskap, ikke etter ansiennitet

En Mac som organisasjonen eier, begrunner vanligvis veien én, fordi den samme kanalen som leverer VPN-en, kan fjerne den, og brukeren kan ikke redigere tilkoblingen i stillhet. Velg enhetskanalen når tunnelen må finnes før noen bruker logger inn, og brukerkanalen når tilkoblingen tilhører personen. En personlig eid Mac med en bedriftstjeneste peker vanligvis mot veien to. Organisasjonen kan ikke styre enheten, så installasjonen må være liten, reversibel og godt nok dokumentert til at brukeren kan angre den.

Veien tre forblir rimelig for en håndfull tekniske brukere med et stabilt oppsett, og for alle som tester en gateway før den rulles ut. Under den skalaen blir den et ikke-revidert sett håndskrevne innstillinger som ingen kan inventere.

Skill profilen fra kontoen

En lokal tilkoblingsprofil sier hvordan gatewayen nås. En konto som er autorisert ved gatewayen, sier om den som ringer får komme inn. De klargjøres av forskjellige personer og tilbakekalles av forskjellige grunner, så behold aldri profilen som autorisasjonen. Sertifikater ligger imellom. Et sertifikat som leveres med profilen, autentiserer enheten eller brukeren, og tilbakekalling ved gatewayen avslutter tilgangen selv om profilen blir liggende på disken. Et design med bare passord lener seg i stedet på kontoens livssyklus, og derfor må overleveringsnotatet si hvilken av de to som er i spill.

Bestem også om klienten er et system-VPN eller en tunnel per app. Et design per app ruter bare utvalgte programmer, og det avhenger av om klienten støtter den modellen på macOS-versjonen som brukes, så verifiser det på en pilotmaskin i stedet for å anta at innstillingen følger med.

Overlever uten administratorpassord

Brukeren må starte tilkoblingen, logge inn og komme seg etter en passordendring. Ingenting av dette krever en administratorkonto, og ingenting av det begrunner å bygge inn legitimasjon i et skript, en Automator-handling eller et trinn etter installasjonen av en signert pakke.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

De to første kommandoene er brukerhandlinger som en helpdesk kan lede noen gjennom. Den tredje leser nylig tunnelaktivitet når en tilkobling feiler, og det er artefakten som skal etterspørres i stedet for et skjermbilde av en feildialog.

Hvis et trinn fortsatt krever administratorgodkjenning, er det en leveringsfeil: send den nøyaktige forespørselen tilbake til profileieren i stedet for å dele ut en konto med mer myndighet enn oppgaven trenger.

Logg inn som vanlig bruker, og skriv deretter utgangen

Logg inn med den vanlige kontoen, koble til, nå den tiltenkte interne verten, la Macen sove, vekk den og bekreft gjenoppkobling. Gjenta etter en passordendring, fordi det er der halvparten av disse utrullingene faktisk feiler. Skriv ned gjenopprettingsveien før den første brukeren trenger den: hva man gjør når profilen mangler, når sertifikatet er utløpt og når gatewayen avviser en ellers gyldig innlogging. Oppbevar de tre svarene der helpdesken kan finne dem.

Til slutt må fjerningen planlegges. Et VPN som ikke kan fjernes fra Macen til en bruker som slutter i én operasjon, er et funn i en tilgangsrevisjon som venter på å skje.