FortiClient no macOS: gerido ou manual e o que recolher

A configuração do FortiClient começa no serviço a que se associa, não no botão VPN que aparece primeiro. Um Mac empresarial gerido e um cliente configurado pessoalmente podem precisar de instaladores diferentes, proprietários de políticas diferentes e passos de inscrição diferentes. Decidir este modelo primeiro poupa uma hora de instalação do pacote errado.

Decida primeiro o modelo de propriedade

Escolha gerido quando a organização executa o FortiClient EMS e espera aprovisionar ligações, perfis e módulos de segurança centralmente. Escolha manual apenas quando o administrador confirmar que a configuração manual é permitida para a sua conta e dispositivo. Anote a escolha e guarde-a com o registo do dispositivo. Alterá-la mais tarde é uma reinscrição, não uma caixa de seleção.

Os dois modelos não são intermutáveis depois. Um perfil gerido pode ser bloqueado, e remover a gestão para expor controlos manuais é uma alteração de política disfarçada de resolução de problemas. Se um perfil bloqueado impedir a ligação de que precisa, isso é uma conversa com o proprietário, não um contorno local.

Recolha o contrato de ligação

Antes da instalação, recolha cinco dados: o protocolo VPN, o nome de anfitrião do gateway, qualquer porta não predefinida, o método de autenticação e os certificados ou tokens envolvidos. Confirme também se o EMS aprovisiona a ligação ou se a configura à mão.

Mantenha separados o início de sessão da conta, a identidade do certificado de cliente e o token de inscrição. Podem aparecer no mesmo fluxo de trabalho sem serem credenciais intermutáveis. Não cole um URL completo de início de sessão do navegador num campo do gateway, a menos que as instruções de implementação peçam explicitamente esse formato.

Alinhe o protocolo com a versão do gateway

É o software do gateway que decide que protocolos estão disponíveis, não o menu do cliente. A Fortinet documenta que o FortiOS 7.6.3 e posteriores já não suportam SSL VPN o modo túnel, pelo que um guia antigo de SSL-VPN não substitui as instruções atuais do administrador. Pergunte que modo o gateway serve antes de escolher um protocolo. Registe o modo nas notas de ligação. A próxima pessoa vai precisar dele.

Numa implementação SSL-VPN suportada, a forma documentada do FortiClient usa um nome de ligação, um Remote Gateway e uma porta personalizada opcional. O IPsec tem as suas próprias definições, e selecioná-lo não é uma conversão de um perfil SSL. Copiar campos entre os dois produz uma ligação que parece configurada e nunca se conclui.

Instale, aprove, aprovisione

Execute o instalador aprovado para a implementação pretendida e conclua as aprovações de macOS que solicita. Verifique o editor e o componente pedido enquanto aprova a extensão do sistema e a configuração VPN, porque as etiquetas e localizações das permissões mudam entre versões do macOS e uma captura de ecrã antiga não é motivo para enfraquecer a segurança de arranque.

Se o Mac for gerido, deixe a política autorizada fornecer a ligação e não a substitua. Se a configuração manual for permitida, abra o Remote Access e introduza o contrato recolhido. Depois ligue-se com o fluxo de autenticação fornecido, incluindo qualquer início de sessão único do navegador ou segundo fator, e valide a identidade do servidor em vez de clicar através de um aviso de certificado inesperado.

Verifique o recurso, não o ícone verde

Depois de o túnel estar ativo, abra a aplicação privada autorizada e confirme que o nome interno é resolvido como esperado. Um indicador de ligação não prova que cada rota ou domínio DNS foi aprovisionado, e certamente não prova que a aplicação de que precisa está acessível.

O guia de ligações do FortiClient tem versões, por isso leia a edição que corresponde ao pacote instalado. Se a configuração falhar, reporte a compilação do cliente, a versão do macOS, a identidade do perfil, a hora e o primeiro erro significativo, e mantenha os segredos exportados e as chaves privadas fora do relatório.

Uma configuração bem-sucedida significa que o cliente aprovado, o proprietário da política, o método de autenticação e o caminho do recurso concordam. Não significa que cada Mac precise de cada módulo de segurança, nem que cada pedido de permissão deva ser aceite sem ser lido.