FortiClient pe macOS: administrat sau manual și ce trebuie colectat

Configurarea FortiClient începe cu serviciul căruia vă alăturați, nu cu butonul VPN care apare primul. Un Mac corporativ administrat și un client configurat personal pot avea nevoie de instalatoare diferite, proprietari de politici diferiți și pași de înregistrare diferiți. Deciderea acestui model mai întâi economisește o oră de instalare a pachetului greșit.

Decideți mai întâi modelul de proprietate

Alegeți administrat când organizația rulează FortiClient EMS și așteaptă provizionarea centrală a conexiunilor, profilelor și modulelor de securitate. Alegeți manual doar când administratorul confirmă că configurarea manuală este permisă pentru contul și dispozitivul dumneavoastră. Notați alegerea și păstrați-o împreună cu înregistrarea dispozitivului. Schimbarea ei mai târziu este o reînregistrare, nu o casetă de selectare.

Cele două modele nu sunt interschimbabile după fapt. Un profil administrat poate fi blocat, iar eliminarea administrării pentru a expune controale manuale este o schimbare de politică deghizată în depanare. Dacă un profil blocat împiedică conexiunea de care aveți nevoie, aceea este o conversație cu proprietarul, nu o ocolire locală.

Colectați contractul de conexiune

Înainte de instalare, colectați cinci date: protocolul VPN, numele de gazdă al gateway-ului, orice port nestandard, metoda de autentificare și certificatele sau tokenurile implicate. Confirmați și dacă EMS asigură conexiunea sau dacă o configurați manual.

Păstrați separat autentificarea în cont, identitatea certificatului de client și tokenul de înregistrare. Ele pot apărea în același flux de lucru fără a fi acreditări interschimbabile. Nu lipiți un URL complet de autentificare din browser într-un câmp de gateway, decât dacă instrucțiunile de implementare cer explicit acel format.

Potriviți protocolul cu versiunea gateway-ului

Software-ul gateway-ului decide ce protocoale sunt disponibile, nu meniul clientului. Fortinet documentează că FortiOS 7.6.3 și versiunile ulterioare nu mai acceptă SSL VPN modul tunel, așa că un ghid SSL-VPN vechi nu înlocuiește instrucțiunile actuale ale administratorului. Întrebați ce mod deservește gateway-ul înainte de a alege un protocol. Notați modul în notele conexiunii. Următoarea persoană va avea nevoie de el.

Într-o implementare SSL-VPN acceptată, forma documentată a FortiClient folosește un nume de conexiune, un Remote Gateway și un port personalizat opțional. IPsec are propriile setări, iar selectarea lui nu este o conversie a unui profil SSL. Copierea câmpurilor între cele două produce o conexiune care pare configurată și nu se finalizează niciodată.

Instalați, aprobați, provizionați

Rulați instalatorul aprobat pentru implementarea dorită, apoi finalizați aprobările macOS pe care le solicită. Verificați editorul și componenta solicitată în timp ce aprobați extensia de sistem și configurația VPN, deoarece etichetele și locațiile permisiunilor se schimbă între versiunile macOS și o captură de ecran veche nu este un motiv pentru a slăbi securitatea la pornire.

Dacă Mac-ul este administrat, lăsați politica autorizată să furnizeze conexiunea și nu o suprascrieți. Dacă configurarea manuală este permisă, deschideți Remote Access și introduceți contractul colectat. Apoi conectați-vă cu fluxul de autentificare furnizat, inclusiv cu orice autentificare unică din browser sau al doilea factor, și validați identitatea serverului în loc să faceți clic prin intermediul unui avertisment de certificat neașteptat.

Verificați resursa, nu pictograma verde

După ce tunelul este activ, deschideți aplicația privată autorizată și confirmați că numele ei intern se rezolvă conform așteptărilor. Un indicator conectat nu este dovada că fiecare rută sau domeniu DNS a fost provizionat și cu siguranță nu este dovada că aplicația de care aveți nevoie este accesibilă.

Ghidul de conexiuni FortiClient este versionat, așa că citiți ediția care corespunde pachetului instalat. Dacă configurarea eșuează, raportați build-ul clientului, versiunea macOS, identitatea profilului, ora și prima eroare semnificativă, iar secretele exportate și cheile private păstrați-le în afara raportului.

O configurare reușită înseamnă că clientul aprobat, proprietarul politicii, metoda de autentificare și calea resursei sunt toate în acord. Nu înseamnă că fiecare Mac are nevoie de fiecare modul de securitate sau că fiecare solicitare de permisiune trebuie acceptată fără a o citi.