Utilizator Mac standard cu un VPN gestionat: ce trebuie să își asume IT-ul

Conturile macOS standard pot rula un VPN de companie toată ziua în timp ce IT-ul păstrează fiecare operațiune privilegiată. A ajunge acolo este o decizie de livrare, nu o dezbatere despre permisiuni: alegeți cine instalează clientul, cine scrie conexiunea și ce poate schimba utilizatorul. Trei căi acoperă aproape fiecare caz, iar fiecare eșuează altfel. Alegeți calea după proprietatea dispozitivului și tipul de acreditare, apoi testați-o ca utilizator standard, nu ca dumneavoastră.

Trei căi de livrare și ce rezolvă fiecare

Prima cale este un profil de configurare gestionat, livrat de administrarea dispozitivelor a organizației. Încărcătura VPN transportă gateway-ul, metoda de autentificare, rutele și DNS-ul, și se instalează prin canalul dispozitivului sau al utilizatorului, în funcție de modul în care este înregistrat Mac-ul. A doua cale este un instalator self-service: utilizatorul rulează un pachet aprobat care plasează clientul și scrie conexiunea în locul lui. Funcționează atunci când nu există înregistrare în administrare, dar organizația vrea totuși o configurație repetabilă și verificabilă. A treia cale este ca utilizatorul să creeze conexiunea manual în Setările sistemului, urmând valori publicate. Este cea mai ieftină de început și cea mai scumpă de susținut, pentru că fiecare greșeală din partea clientului devine un apel la help desk, iar fiecare modificare o notă.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Citiți prima listă pentru a vedea ce conexiuni există și cui aparțin, iar celelalte două pentru a vedea ce a fost instalat ca politică. Un profil care nu apare în niciuna dintre liste nu a ajuns, indiferent ce i s-a spus utilizatorului.

Decideți după proprietatea dispozitivului, nu după vechime

Un Mac deținut de organizație justifică de obicei prima cale, pentru că același canal care livrează VPN-ul îl poate și elimina, iar utilizatorul nu poate edita conexiunea în liniște. Alegeți canalul dispozitivului când tunelul trebuie să existe înainte ca vreun utilizator să se conecteze, și canalul utilizatorului când conexiunea aparține persoanei. Un Mac deținut personal cu un serviciu de companie indică de obicei a doua cale. Organizația nu poate administra dispozitivul, așa că instalatorul trebuie să fie mic, reversibil și documentat suficient încât utilizatorul să îl poată anula.

A treia cale rămâne rezonabilă pentru câțiva utilizatori tehnici cu o configurație stabilă și pentru oricine testează un gateway înainte de implementare. Sub această scară devine un set neauditat de setări scrise de mână pe care nimeni nu le poate inventaria.

Separați profilul de cont

Un profil de conexiune local spune cum se ajunge la gateway. Un cont autorizat la gateway spune dacă apelantul poate intra. Sunt asigurate de oameni diferiți și revocate din motive diferite, așa că nu tratați niciodată profilul ca autorizarea. Certificatele stau între ele. Un certificat livrat cu profilul autentifică dispozitivul sau utilizatorul, iar revocarea lui la gateway încheie accesul chiar dacă profilul rămâne pe disc. Un design doar cu parolă se sprijină pe ciclul de viață al contului, de aceea nota de predare trebuie să spună care dintre cele două este în joc.

Decideți și dacă clientul este un VPN de sistem sau un tunel pentru fiecare aplicație. Un design pentru fiecare aplicație direcționează doar aplicațiile alese și depinde de faptul că clientul acceptă acel model pe versiunea de macOS folosită, așa că verificați-l pe o mașină pilot în loc să presupuneți că setarea călătorește.

Predați fără parolă de administrator

Utilizatorul trebuie să pornească conexiunea, să se conecteze și să își revină după o schimbare de parolă. Nimic din toate acestea nu cere un cont de administrator și nimic nu justifică includerea acreditărilor într-un script, într-o acțiune Automator sau într-un pas de după instalarea unui pachet semnat.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Primele două comenzi sunt operațiuni la nivel de utilizator prin care un help desk poate îndruma pe cineva. A treia citește activitatea recentă a tunelului când o conexiune eșuează, și acesta este artefactul care trebuie cerut în locul unei capturi de ecran a unui dialog de eroare.

Dacă un pas mai cere aprobarea unui administrator, este un defect de livrare: trimiteți solicitarea exactă înapoi proprietarului profilului în loc să distribuiți un cont cu mai multă autoritate decât are nevoie sarcina.

Conectați-vă ca utilizator standard, apoi scrieți ieșirea

Conectați-vă cu contul standard, conectați-vă la rețea, ajungeți la gazda internă dorită, lăsați Mac-ul să doarmă, treziți-l și confirmați reconectarea. Repetați după o schimbare de parolă, pentru că exact acolo jumătate dintre aceste implementări eșuează de fapt. Scrieți calea de recuperare înainte ca primul utilizator să aibă nevoie de ea: ce faceți când lipsește profilul, când certificatul a expirat și când gateway-ul respinge o conectare altfel validă. Păstrați cele trei răspunsuri acolo unde help desk-ul le poate găsi.

În final, planificați eliminarea. Un VPN care nu poate fi eliminat de pe Mac-ul unui utilizator care pleacă într-o singură operațiune este o constatare de revizuire a accesului care urmează să apară.