Vanleg Mac-brukar med styrt VPN: kva IT må eige

Vanlege macOS-kontoar kan køyre eit bedrifts-VPN heile dagen medan IT held på kvar privilegert operasjon. Å kome dit er ei leveringsavgjerd, ikkje ein rettsdiskusjon: vel kven som installerer klienten, kven som skriv tilkoplinga og kva brukaren får lov til å endre. Tre vegar dekkjer nesten alle tilfelle, og dei feilar kvar på sin måte. Vel vegen ut frå einingseige og type legitimasjon, og test han deretter som den vanlege brukaren i staden for som deg sjølv.

Tre leveringsvegar og kva kvar av dei avgjer

Veg éin er ein styrt konfigurasjonsprofil som blir levert av einingastyringa til organisasjonen. VPN-nyttelasta inneheld gatewayen, autentiseringsmetoden, rutene og DNS, og ho blir installert via eining- eller brukarkanelen avhengig av korleis Macen er registrert. Veg to er ein sjølvbeteningsinstallasjon: brukaren køyrer ein godkjend pakke som plasserer klienten og skriv tilkoplinga for han. Det verkar når det ikkje finst noka styringsregistrering, men organisasjonen framleis vil ha ein repetérbar og gjennomgåeleg konfigurasjon. Veg tre er at brukaren lagar tilkoplinga manuelt i Systeminnstillingar, etter publiserte verdiar. Han er billegast å starte og dyrast å støtte, fordi kvar feil på klientsida blir ein telefon til helpdesk og kvar endring blir eit notat.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Les den første lista for å sjå kva tilkoplingar som finst og kven som eig dei, og dei to andre for å sjå kva som vart installert som policy. Ein profil som ikkje visest i noka av listene, er ikkje komen, uansett kva brukaren har fått beskjed om.

Avgjer etter einingseige, ikkje etter ansiennitet

Ein Mac som organisasjonen eig, grunngir vanlegvis veg éin, fordi den same kanalen som leverer VPN-en, kan fjerne han, og brukaren kan ikkje redigere tilkoplinga i det stille. Vel einingakanalen når tunnelen må finnast før nokon brukar loggar inn, og brukarkanelen når tilkoplinga høyrer til personen. Ein personleg eigd Mac med ei bedriftsteneste peikar vanlegvis mot veg to. Organisasjonen kan ikkje styre eininga, så installasjonen må vere liten, reversibel og godt nok dokumentert til at brukaren kan angre han.

Veg tre blir verande rimeleg for ein handfull tekniske brukarar med eit stabilt oppsett, og for alle som testar ein gateway før han blir rulle ut. Under den skalaen blir han eit ikkje-revidert sett handskrivne innstillingar som ingen kan inventere.

Skil profilen frå kontoen

Ein lokal tilkoplingsprofil seier korleis gatewayen blir nådd. Ein konto som er autorisert ved gatewayen, seier om den som ringjer får kome inn. Dei blir klargjorde av ulike personar og tilbakekalla av ulike grunnar, så hald aldri profilen som autorisasjonen. Sertifikat ligg imellom. Eit sertifikat som blir levert med profilen, autentiserer eininga eller brukaren, og tilbakekalling ved gatewayen avsluttar tilgangen sjølv om profilen blir liggjande på disken. Eit design med berre passord lener seg i staden på livssyklusen til kontoen, og difor må overleveringsnotatet seie kva av dei to som er i spel.

Avgjer også om klienten er eit system-VPN eller ein tunnel per app. Eit design per app rutar berre utvalde program, og det er avhengig av om klienten støttar den modellen på macOS-versjonen som blir brukt, så verifiser det på ein pilotmaskin i staden for å anta at innstillinga følgjer med.

Overlever utan administratorpassord

Brukaren må starte tilkoplinga, logge inn og kome seg etter ei passordendring. Ingenting av dette krev ein administratorkonto, og ingenting av det grunngir å byggje inn legitimasjon i eit skript, ei Automator-handling eller eit trinn etter installasjonen av ein signert pakke.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Dei to første kommandoane er brukarhandlingar som ein helpdesk kan leie nokon gjennom. Den tredje les nyleg tunnelaktivitet når ei tilkopling feilar, og det er artefakten som skal etterspørjast i staden for eit skjermbilde av ein feildialog.

Viss eit trinn framleis krev administratorgodkjenning, er det ein leveringsfeil: send den nøyaktige førespurnaden tilbake til profileigaren i staden for å dele ut ein konto med meir mynde enn oppgåva treng.

Logg inn som vanleg brukar, og skriv deretter utgangen

Logg inn med den vanlege kontoen, kople til, nå den tiltenkte interne verten, la Macen sove, vekk han og stadfest gjenoppkopling. Gjenta etter ei passordendring, fordi det er der halvparten av desse utrullingane faktisk feilar. Skriv ned gjenopprettingsvegen før den første brukaren treng han: kva ein gjer når profilen manglar, når sertifikatet er gått ut og når gatewayen avviser ei elles gyldig innlogging. Oppbevar dei tre svara der helpdesken kan finne dei.

Til slutt må fjerninga planleggjast. Eit VPN som ikkje kan fjernast frå Macen til ein brukar som sluttar i éin operasjon, er eit funn i ein tilgangsrevisjon som ventar på å skje.