Standaard Mac-gebruiker met een beheerd VPN: wat IT moet dragen

Standaard macOS-accounts kunnen de hele dag een bedrijfs-VPN draaien terwijl IT elke bevoorrechte handeling houdt. Daar komen is een leveringsbeslissing, geen rechtenkwestie: kies wie de client installeert, wie de verbinding schrijft en wat de gebruiker mag wijzigen. Drie routes dekken bijna elk geval, en ze falen elk op een andere manier. Kies de route op basis van apparaateigendom en type referentie, en test die dan als de standaardgebruiker in plaats van als uzelf.

Drie leveringsroutes en wat elk ervan beslecht

Route één is een beheerd configuratieprofiel dat het apparaatbeheer van de organisatie levert. De VPN-payload bevat de gateway, de authenticatiemethode, routes en DNS, en wordt via het apparaat- of gebruikerskanaal geïnstalleerd, afhankelijk van hoe de Mac is ingeschreven. Route twee is een selfservice-installer: de gebruiker voert een goedgekeurd pakket uit dat de client plaatst en de verbinding voor hem schrijft. Dat werkt wanneer er geen beheerinschrijving is, maar de organisatie toch een herhaalbare, controleerbare configuratie wil. Route drie is dat de gebruiker de verbinding met de hand aanmaakt in Systeeminstellingen, volgens gepubliceerde waarden. Het is het goedkoopst om te beginnen en het duurst om te ondersteunen, omdat elke fout aan de clientkant een belletje naar de helpdesk wordt en elke wijziging een notitie.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Lees de eerste lijst om te zien welke verbindingen bestaan en wie ze bezit, en de andere twee om te zien wat als beleid is geïnstalleerd. Een profiel dat in geen van beide lijsten voorkomt, is niet aangekomen, wat de gebruiker ook is verteld.

Beslis op basis van apparaateigendom, niet op basis van anciënniteit

Een Mac in eigendom van de organisatie rechtvaardigt meestal route één, omdat hetzelfde kanaal dat het VPN levert het ook kan verwijderen, en de gebruiker de verbinding niet stilletjes kan bewerken. Kies het apparaatkanaal wanneer de tunnel moet bestaan voordat een gebruiker inlogt, en het gebruikerskanaal wanneer de verbinding van de persoon is. Een privé-eigendom Mac met een bedrijfsdienst wijst meestal naar route twee. De organisatie kan het apparaat niet beheren, dus de installer moet klein, omkeerbaar en goed genoeg gedocumenteerd zijn dat de gebruiker hem ongedaan kan maken.

Route drie blijft redelijk voor een handvol technische gebruikers met een stabiele opzet, en voor iedereen die een gateway test voordat die wordt uitgerold. Onder die schaal wordt het een niet-gecontroleerde verzameling handmatig getypte instellingen die niemand kan inventariseren.

Scheid het profiel van het account

Een lokaal verbindingsprofiel zegt hoe de gateway wordt bereikt. Een account dat bij de gateway is geautoriseerd, zegt of de beller binnen mag. Ze worden door verschillende mensen ingericht en om verschillende redenen ingetrokken, dus behandel het profiel nooit als de autorisatie. Certificaten zitten ertussen. Een certificaat dat met het profiel wordt geleverd, authenticeert het apparaat of de gebruiker, en intrekking bij de gateway beëindigt de toegang zelfs als het profiel op schijf blijft staan. Een ontwerp met alleen een wachtwoord leunt in plaats daarvan op de levenscyclus van het account, daarom moet de overdrachtsnotitie zeggen welke van de twee in het spel is.

Beslis ook of de client een systeem-VPN of een tunnel per app is. Een ontwerp per app routeert alleen gekozen apps, en het hangt ervan af of de client dat model ondersteunt op de gebruikte macOS-versie, dus verifieer het op een proefmachine in plaats van aan te nemen dat de instelling meereist.

Draag over zonder beheerderswachtwoord

De gebruiker moet de verbinding starten, inloggen en herstellen na een wachtwoordwijziging. Niets daarvan vereist een beheerdersaccount, en niets rechtvaardigt het inbedden van referenties in een script, een Automator-actie of een stap na de installatie van een ondertekend pakket.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

De eerste twee opdrachten zijn handelingen op gebruikersniveau waar een helpdesk iemand doorheen kan leiden. De derde leest recente tunnelactiviteit wanneer een verbinding mislukt, en dat is het artefact dat moet worden opgevraagd in plaats van een schermafbeelding van een foutdialoog.

Als een stap nog steeds beheerdersgoedkeuring vereist, is dat een leveringsfout: stuur de exacte prompt terug naar de eigenaar van het profiel in plaats van een account te verstrekken met meer bevoegdheid dan de taak nodig heeft.

Log in als standaardgebruiker en schrijf daarna de uitgang

Log in met het standaardaccount, maak verbinding, bereik de bedoelde interne host, laat de Mac slapen, wek hem en bevestig de herverbinding. Herhaal dat na een wachtwoordwijziging, want daar faalt de helft van deze uitrollen echt. Schrijf het herstelpad op voordat de eerste gebruiker het nodig heeft: wat te doen als het profiel ontbreekt, als het certificaat is verlopen en als de gateway een verder geldige login weigert. Bewaar die drie antwoorden waar de helpdesk ze kan vinden.

Plan ten slotte de verwijdering. Een VPN die niet in één handeling van de Mac van een vertrekkende gebruiker verwijderd kan worden, is een bevinding uit een toegangsreview die staat te gebeuren.