FortiClient op macOS: beheerd of handmatig, en wat je moet verzamelen

De installatie van FortiClient begint bij de dienst waar je lid van wordt, niet bij de VPN-knop die het eerst verschijnt. Een beheerde zakelijke Mac en een persoonlijk geconfigureerde client kunnen verschillende installatieprogramma’s, verschillende policy-eigenaren en verschillende registratiestappen nodig hebben. Dat model eerst bepalen bespaart een uur van het installeren van het verkeerde pakket.

Bepaal eerst het eigenaarsmodel

Kies beheerd wanneer de organisatie FortiClient EMS draait en verwacht verbindingen, profielen en beveiligingsmodules centraal te voorzien. Kies alleen handmatig wanneer de beheerder bevestigt dat handmatige configuratie is toegestaan voor je account en apparaat. Schrijf de keuze op en bewaar die bij het apparaatrecord. Die later wijzigen is een herregistratie, geen selectievakje.

De twee modellen zijn achteraf niet uitwisselbaar. Een beheerd profiel kan worden vergrendeld, en beheer verwijderen om handmatige bediening bloot te leggen is een beleidswijziging vermomd als probleemoplossing. Als een vergrendeld profiel de verbinding blokkeert die je nodig hebt, is dat een gesprek met de eigenaar, geen lokale omweg.

Verzamel het verbindingscontract

Verzamel vóór de installatie vijf gegevens: het VPN-protocol, de hostnaam van de gateway, een eventuele niet-standaardpoort, de authenticatiemethode en de betrokken certificaten of tokens. Bevestig ook of EMS de verbinding voorziet of dat je die handmatig configureert.

Houd accountaanmelding, een clientcertificaatidentiteit en een registratietoken gescheiden. Ze kunnen in dezelfde werkstroom voorkomen zonder uitwisselbare inloggegevens te zijn. Plak geen volledige browseraanmeldings-URL in een gatewayveld, tenzij de implementatie-instructies expliciet dat formaat vragen.

Stem het protocol af op de gatewayversie

De gateway-software bepaalt welke protocollen beschikbaar zijn, niet het clientmenu. Fortinet documenteert dat FortiOS 7.6.3 en later SSL VPN de tunnelmodus niet meer ondersteunen, dus een oudere SSL-VPN-handleiding vervangt de huidige instructies van de beheerder niet. Vraag welke modus de gateway bedient voordat je een protocol kiest. Noteer de modus in de verbindingsnotities. De volgende persoon heeft het nodig.

In een ondersteunde SSL-VPN-implementatie gebruikt de gedocumenteerde vorm van FortiClient een verbindingsnaam, een Remote Gateway en een optionele aangepaste poort. IPsec heeft zijn eigen instellingen, en het selecteren ervan is geen conversie van een SSL-profiel. Het kopiëren van velden tussen beide levert een verbinding op die geconfigureerd lijkt en nooit voltooit.

Installeer, keur goed, voorzie

Voer het goedgekeurde installatieprogramma uit voor de beoogde implementatie en voltooi daarna de macOS-goedkeuringen die het vraagt. Controleer de uitgever en het gevraagde onderdeel terwijl je de systeemextensie en de VPN-configuratie goedkeurt, want machtigingslabels en -locaties veranderen tussen macOS-versies en een oude schermafbeelding is geen reden om de opstartbeveiliging te verzwakken.

Als de Mac beheerd is, laat het geautoriseerde beleid de verbinding leveren en overschrijf die niet. Als handmatige configuratie is toegestaan, open Remote Access en voer het verzamelde contract in. Maak daarna verbinding met de geleverde authenticatiestroom, inclusief eventuele browser-single-sign-on of tweede factor, en valideer de identiteit van de server in plaats van door een onverwachte certificaatwaarschuwing heen te klikken.

Controleer de bron, niet het groene pictogram

Open nadat de tunnel actief is de geautoriseerde privétoepassing en bevestig dat de interne naam wordt omgezet zoals verwacht. Een verbonden-indicator is geen bewijs dat elke route of DNS-domein is voorzien, en zeker geen bewijs dat de toepassing die je nodig hebt bereikbaar is.

De FortiClient-verbindingsgids is geversioneerd, dus lees de editie die bij het geïnstalleerde pakket past. Als de configuratie mislukt, meld dan de clientbuild, de macOS-versie, de profielidentiteit, het tijdstip en de eerste betekenisvolle fout, en houd geëxporteerde geheimen en privésleutels buiten het rapport.

Een geslaagde configuratie betekent dat de goedgekeurde client, de policy-eigenaar, de authenticatiemethode en het bronpad allemaal overeenkomen. Het betekent niet dat elke Mac elke beveiligingsmodule nodig heeft, of dat elke toestemmingsvraag zonder lezen moet worden geaccepteerd.