FortiClient w macOS: zarządzany czy ręczny i co zebrać

Konfiguracja FortiClient zaczyna się od usługi, do której dołączasz, a nie od przycisku VPN, który pojawia się pierwszy. Zarządzany Mac firmowy i klient skonfigurowany osobiście mogą wymagać innych instalatorów, innych właścicieli zasad i innych kroków rejestracji. Rozstrzygnięcie tego modelu na początku oszczędza godzinę instalowania niewłaściwego pakietu.

Najpierw zdecyduj o modelu własności

Wybierz zarządzany, gdy organizacja używa FortiClient EMS i oczekuje centralnego dostarczania połączeń, profili i modułów bezpieczeństwa. Wybierz ręczny tylko wtedy, gdy administrator potwierdzi, że ręczna konfiguracja jest dozwolona dla Twojego konta i urządzenia. Zapisz wybór i przechowuj go z rekordem urządzenia. Późniejsza zmiana to ponowna rejestracja, a nie pole wyboru.

Oba modele nie są później wymienne. Profil zarządzany można zablokować, a usunięcie zarządzania, aby odsłonić ręczne elementy sterujące, jest zmianą zasad przebraną za rozwiązywanie problemów. Jeśli zablokowany profil blokuje potrzebne połączenie, to rozmowa z właścicielem, a nie lokalne obejście.

Zbierz umowę połączenia

Przed instalacją zbierz pięć danych: protokół VPN, nazwę hosta bramy, dowolny niestandardowy port, metodę uwierzytelniania oraz powiązane certyfikaty lub tokeny. Potwierdź też, czy EMS dostarcza połączenie, czy konfigurujesz je ręcznie.

Trzymaj osobno logowanie do konta, tożsamość certyfikatu klienta i token rejestracyjny. Mogą występować w tym samym przepływie pracy, ale nie są wymiennymi poświadczeniami. Nie wklejaj pełnego adresu URL logowania przeglądarki w pole bramy, chyba że instrukcje wdrożenia wyraźnie wymagają tego formatu.

Dopasuj protokół do wersji bramy

To oprogramowanie bramy decyduje, które protokoły są dostępne, a nie menu klienta. Fortinet dokumentuje, że FortiOS 7.6.3 i nowsze nie obsługują już SSL VPN trybu tunelowego, więc stary przewodnik SSL-VPN nie zastępuje aktualnych instrukcji administratora. Zapytaj, który tryb obsługuje brama, zanim wybierzesz protokół. Zapisz tryb w notatkach połączenia. Następna osoba będzie go potrzebować.

W obsługiwanym wdrożeniu SSL-VPN udokumentowana forma FortiClient używa nazwy połączenia, Remote Gateway i opcjonalnego dostosowanego portu. IPsec ma własne ustawienia, a jego wybór nie jest konwersją profilu SSL. Kopiowanie pól między nimi tworzy połączenie, które wygląda na skonfigurowane i nigdy się nie kończy.

Zainstaluj, zatwierdź, dostarcz

Uruchom zatwierdzony instalator dla zamierzonego wdrożenia, a następnie dokończ wymagane zatwierdzenia macOS. Sprawdź wydawcę i żądany składnik podczas zatwierdzania rozszerzenia systemowego i konfiguracji VPN, ponieważ etykiety i lokalizacje uprawnień zmieniają się między wersjami macOS i stary zrzut ekranu nie jest powodem do osłabiania bezpieczeństwa rozruchu.

Jeśli Mac jest zarządzany, pozwól autoryzowanym zasadom dostarczyć połączenie i nie nadpisuj go. Jeśli ręczna konfiguracja jest dozwolona, otwórz Remote Access i wprowadź zebraną umowę. Następnie połącz się z dostarczonym przepływem uwierzytelniania, w tym z dowolnym logowaniem jednokrotnym w przeglądarce lub drugim czynnikiem, i zweryfikuj tożsamość serwera, zamiast klikać przez nieoczekiwane ostrzeżenie o certyfikacie.

Zweryfikuj zasób, a nie zieloną ikonę

Po podniesieniu tunelu otwórz autoryzowaną aplikację prywatną i potwierdź, że jej nazwa wewnętrzna rozwiązuje się zgodnie z oczekiwaniami. Wskaźnik połączenia nie jest dowodem, że każda trasa lub domena DNS została dostarczona, i z pewnością nie jest dowodem, że potrzebna aplikacja jest osiągalna.

Przewodnik po połączeniach FortiClient jest wersjonowany, więc czytaj wydanie odpowiadające zainstalowanemu pakietowi. Jeśli konfiguracja się nie powiedzie, zgłoś kompilację klienta, wersję macOS, tożsamość profilu, czas i pierwszy istotny błąd, a wyeksportowane sekrety i klucze prywatne trzymaj poza raportem.

Udana konfiguracja oznacza, że zatwierdzony klient, właściciel zasad, metoda uwierzytelniania i ścieżka zasobu są zgodne. Nie oznacza to, że każdy Mac potrzebuje każdego modułu bezpieczeństwa ani że każdą prośbę o uprawnienie należy zaakceptować bez czytania.