Zwykły użytkownik Maca z zarządzanym VPN: co musi przejąć IT

Zwykłe konta macOS mogą cały dzień korzystać z firmowego VPN, podczas gdy IT zachowuje każdą uprzywilejowaną operację. Dotarcie tam to decyzja o dostarczaniu, a nie spór o uprawnienia: wybierz, kto instaluje klienta, kto tworzy połączenie i co użytkownik może zmieniać. Trzy drogi obejmują prawie każdy przypadek i każda zawodzi inaczej. Wybierz drogę według własności urządzenia i typu danych uwierzytelniających, a potem sprawdź ją jako zwykły użytkownik, a nie jako ty sam.

Trzy drogi dostarczania i co każda rozstrzyga

Pierwsza droga to zarządzany profil konfiguracji dostarczany przez system zarządzania urządzeniami organizacji. Ładunek VPN zawiera bramę, metodę uwierzytelniania, trasy i DNS, a instaluje się kanałem urządzenia lub użytkownika zależnie od tego, jak zarejestrowano Maca. Druga droga to instalator samoobsługowy: użytkownik uruchamia zatwierdzony pakiet, który umieszcza klienta i zapisuje połączenie za niego. Działa, gdy nie ma rejestracji w zarządzaniu, ale organizacja nadal chce konfiguracji powtarzalnej i możliwej do przeglądu. Trzecia droga to ręczne utworzenie połączenia przez użytkownika w Ustawieniach systemowych według opublikowanych wartości. Jest najtańsza na start i najdroższa w utrzymaniu, bo każdy błąd po stronie klienta staje się telefonem do pomocy technicznej, a każda zmiana notatką.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Przeczytaj pierwszą listę, aby zobaczyć, jakie połączenia istnieją i do kogo należą, a pozostałe dwie, aby zobaczyć, co zainstalowano jako politykę. Profil, którego nie ma na żadnej liście, nie dotarł, cokolwiek powiedziano użytkownikowi.

Decyduj według własności urządzenia, nie według stażu

Mac należący do organizacji zwykle uzasadnia pierwszą drogę, bo ten sam kanał, który dostarcza VPN, może go też usunąć, a użytkownik nie może po cichu edytować połączenia. Wybierz kanał urządzenia, gdy tunel musi istnieć, zanim zaloguje się jakikolwiek użytkownik, a kanał użytkownika, gdy połączenie należy do osoby. Prywatny Mac z usługą firmową zwykle wskazuje drugą drogę. Organizacja nie może zarządzać urządzeniem, więc instalator musi być mały, odwracalny i wystarczająco udokumentowany, aby użytkownik mógł go cofnąć.

Trzecia droga pozostaje rozsądna dla garstki technicznych użytkowników ze stabilną konfiguracją oraz dla każdego, kto testuje bramę przed wdrożeniem. Poniżej tej skali staje się nieaudytowanym zbiorem ręcznie wpisanych ustawień, którego nikt nie potrafi zinwentaryzować.

Oddziel profil od konta

Lokalny profil połączenia mówi, jak dotrzeć do bramy. Konto autoryzowane na bramie mówi, czy dzwoniący może wejść. Zapewniają je różni ludzie i unieważniają z różnych powodów, więc nigdy nie traktuj profilu jako autoryzacji. Certyfikaty leżą pomiędzy. Certyfikat dostarczony z profilem uwierzytelnia urządzenie lub użytkownika, a jego unieważnienie na bramie kończy dostęp, nawet jeśli profil pozostaje na dysku. Projekt oparty tylko na haśle opiera się raczej na cyklu życia konta, dlatego notatka przekazania musi mówić, który z dwóch jest w grze.

Zdecyduj też, czy klient to VPN systemowy, czy tunel dla poszczególnych aplikacji. Projekt dla poszczególnych aplikacji kieruje tylko wybrane aplikacje i zależy od tego, czy klient obsługuje ten model w używanej wersji macOS, więc sprawdź to na maszynie testowej, zamiast zakładać, że ustawienie pojedzie razem.

Przekaż bez hasła administratora

Użytkownik musi uruchomić połączenie, zalogować się i po zmianie hasła dojść do siebie. Nic z tego nie wymaga konta administratora i nic nie uzasadnia osadzania danych uwierzytelniających w skrypcie, akcji Automatora ani kroku po instalacji podpisanego pakietu.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Pierwsze dwie komendy to operacje na poziomie użytkownika, przez które pomoc techniczna może kogoś przeprowadzić. Trzecia czyta ostatnią aktywność tunelu, gdy połączenie zawodzi, i to jest artefakt, o który trzeba prosić zamiast zrzutu ekranu okna błędu.

Jeśli jakiś krok nadal wymaga zatwierdzenia administratora, to wada dostarczania: odeślij dokładny monit do właściciela profilu, zamiast wydawać konto z większymi uprawnieniami, niż potrzebuje zadanie.

Zaloguj się jako zwykły użytkownik, a potem opisz wyjście

Zaloguj się zwykłym kontem, połącz się, dotrzyj do zamierzonego hosta wewnętrznego, pozwól Macowi zasnąć, obudź go i potwierdź ponowne połączenie. Powtórz to po zmianie hasła, bo właśnie tam połowa takich wdrożeń naprawdę zawodzi. Zapisz ścieżkę odzyskiwania, zanim pierwszy użytkownik jej potrzebuje: co zrobić, gdy brakuje profilu, gdy certyfikat wygasł i gdy brama odrzuca skądinąd ważne logowanie. Trzymaj te trzy odpowiedzi tam, gdzie pomoc techniczna może je znaleźć.

Na koniec zaplanuj usunięcie. VPN, którego nie można usunąć z Maca odchodzącego użytkownika w jednej operacji, to ustalenie z przeglądu dostępu, które zaraz się zdarzy.