Utilizador padrão de Mac com uma VPN gerida: o que a TI tem de assumir

As contas padrão do macOS podem executar uma VPN empresarial todo o dia enquanto a TI conserva cada operação privilegiada. Chegar lá é uma decisão de entrega, não uma discussão sobre permissões: escolha quem instala o cliente, quem cria a ligação e o que o utilizador pode alterar. Três vias cobrem quase todos os casos, e cada uma falha de forma diferente. Escolha a via segundo a propriedade do dispositivo e o tipo de credencial, e depois teste-a como utilizador padrão em vez de como você mesmo.

Três vias de entrega e o que cada uma resolve

A primeira via é um perfil de configuração gerido, entregue pela gestão de dispositivos da organização. A carga da VPN transporta o gateway, o método de autenticação, as rotas e o DNS, e instala-se pelo canal do dispositivo ou do utilizador conforme a forma como o Mac está inscrito. A segunda via é um instalador self-service: o utilizador executa um pacote aprovado que coloca o cliente e escreve a ligação por ele. Funciona quando não há inscrição de gestão, mas a organização ainda quer uma configuração repetível e verificável. A terceira via é o utilizador criar a ligação à mão em Definições do Sistema, seguindo valores publicados. É a mais barata de começar e a mais cara de suportar, porque cada erro do lado do cliente se torna uma chamada ao help desk e cada alteração uma nota.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Leia a primeira listagem para ver que ligações existem e a quem pertencem, e as outras duas para ver o que foi instalado como política. Um perfil que não aparece em nenhuma das listagens não chegou, diga o que disser ao utilizador.

Decida pela propriedade do dispositivo, não pela antiguidade

Um Mac propriedade da organização justifica normalmente a primeira via, porque o mesmo canal que entrega a VPN a pode remover, e o utilizador não pode editar a ligação em silêncio. Escolha o canal do dispositivo quando o túnel tem de existir antes de qualquer utilizador iniciar sessão, e o canal do utilizador quando a ligação pertence à pessoa. Um Mac de propriedade pessoal com um serviço empresarial aponta normalmente para a segunda via. A organização não pode gerir o dispositivo, por isso o instalador tem de ser pequeno, reversível e documentado o suficiente para o utilizador o poder anular.

A terceira via continua razoável para um punhado de utilizadores técnicos com uma configuração estável, e para quem testa um gateway antes de o implementar. Abaixo dessa escala torna-se um conjunto não auditado de definições escritas à mão que ninguém consegue inventariar.

Separe o perfil da conta

Um perfil de ligação local diz como chegar ao gateway. Uma conta autorizada no gateway diz se quem chama pode entrar. São fornecidos por pessoas diferentes e revogados por motivos diferentes, por isso nunca trate o perfil como a autorização. Os certificados ficam no meio. Um certificado entregue com o perfil autentica o dispositivo ou o utilizador, e revogá-lo no gateway termina o acesso mesmo que o perfil fique no disco. Um desenho só com palavra-passe apoia-se no ciclo de vida da conta, e é por isso que a nota de entrega tem de dizer qual dos dois está em jogo.

Decida também se o cliente é uma VPN de sistema ou um túnel por aplicação. Um desenho por aplicação encaminha apenas as aplicações escolhidas, e depende de o cliente suportar esse modelo na versão de macOS em uso, por isso verifique-o numa máquina piloto em vez de assumir que a definição viaja.

Entregue sem palavra-passe de administrador

O utilizador precisa de iniciar a ligação, iniciar sessão e recuperar de uma mudança de palavra-passe. Nada disso exige uma conta de administrador, e nada justifica incorporar credenciais num script, numa ação do Automator ou num passo posterior à instalação de um pacote assinado.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Os dois primeiros comandos são operações ao nível do utilizador que um help desk pode guiar alguém a executar. O terceiro lê a atividade recente do túnel quando uma ligação falha, e é o artefacto que deve ser pedido em vez de uma captura de ecrã de uma caixa de erro.

Se um passo ainda exigir aprovação de administrador, é um defeito de entrega: devolva o pedido exato ao proprietário do perfil em vez de distribuir uma conta com mais autoridade do que a tarefa precisa.

Inicie sessão como utilizador padrão e depois escreva a saída

Inicie sessão com a conta padrão, ligue-se, chegue ao anfitrião interno pretendido, deixe o Mac dormir, acorde-o e confirme a religação. Repita depois de uma mudança de palavra-passe, porque é aí que metade destas implementações falha de facto. Escreva o caminho de recuperação antes de o primeiro utilizador precisar dele: o que fazer quando falta o perfil, quando o certificado expirou e quando o gateway rejeita um início de sessão de resto válido. Guarde essas três respostas onde o help desk as possa encontrar.

Por fim, planeie a remoção. Uma VPN que não pode ser removida do Mac de um utilizador que sai numa só operação é uma constatação de revisão de acessos prestes a acontecer.