FortiClient на macOS: управляемый или ручной режим и что собрать

Настройка FortiClient начинается с сервиса, к которому вы подключаетесь, а не с кнопки VPN, которая появится первой. Управляемый корпоративный Mac и клиент, настроенный вручную, могут требовать разных установщиков, разных владельцев политик и разных шагов регистрации. Если определить эту модель заранее, можно сэкономить час на установке неправильного пакета.

Сначала определите модель управления

Выберите управляемый режим, когда организация использует FortiClient EMS и ожидает централизованного предоставления подключений, профилей и модулей безопасности. Выбирайте ручной режим только тогда, когда администратор подтвердит, что ручная настройка разрешена для вашей учётной записи и устройства. Запишите выбор и храните его вместе с записью об устройстве. Изменить его позже — это повторная регистрация, а не флажок.

Эти две модели не взаимозаменяемы задним числом. Управляемый профиль можно заблокировать, а удаление управления ради доступа к ручным настройкам — это изменение политики под видом устранения неполадок. Если заблокированный профиль мешает нужному подключению, это разговор с владельцем, а не локальный обход.

Соберите договор о подключении

Перед установкой соберите пять входных данных: протокол VPN, имя хоста шлюза, любой нестандартный порт, метод аутентификации и связанные сертификаты или токены. Также уточните, предоставляет ли EMS подключение или вы настраиваете его вручную.

Храните отдельно вход в учётную запись, идентичность клиентского сертификата и токен регистрации. Они могут встречаться в одном рабочем процессе, но не являются взаимозаменяемыми учётными данными. Не вставляйте полный URL входа в браузере в поле шлюза, если инструкции по развёртыванию явно не требуют такого формата.

Согласуйте протокол с версией шлюза

Какие протоколы доступны, решает программное обеспечение шлюза, а не меню клиента. Fortinet документирует, что FortiOS 7.6.3 и более новые версии больше не поддерживают SSL VPN туннельный режим, поэтому старое руководство по SSL-VPN не заменяет текущие инструкции администратора. Спросите, какой режим обслуживает шлюз, прежде чем выбирать протокол. Запишите режим в заметках о подключении. Следующему человеку это понадобится.

В поддерживаемом развёртывании SSL-VPN документированная форма FortiClient использует имя подключения, Remote Gateway и необязательный настроенный порт. У IPsec есть собственные настройки, и его выбор не является преобразованием профиля SSL. Копирование полей между ними создаёт подключение, которое выглядит настроенным и никогда не завершается.

Установите, одобрите, предоставьте

Запустите одобренный установщик для предполагаемого развёртывания, затем выполните запрашиваемые одобрения macOS. Проверьте издателя и запрошенный компонент, пока одобряете системное расширение и конфигурацию VPN, потому что метки и расположения разрешений меняются между версиями macOS и старый снимок экрана не является причиной ослаблять безопасность загрузки.

Если Mac управляемый, позвольте авторизованной политике предоставить подключение и не перезаписывайте его. Если ручная настройка разрешена, откройте Remote Access и введите собранный договор. Затем подключитесь с помощью предоставленного потока аутентификации, включая любой единый вход через браузер или второй фактор, и проверьте идентичность сервера вместо того, чтобы проходить через неожиданное предупреждение о сертификате.

Проверьте ресурс, а не зелёный значок

После поднятия туннеля откройте авторизованное частное приложение и убедитесь, что его внутреннее имя разрешается как ожидалось. Индикатор подключения не доказывает, что каждый маршрут или домен DNS был предоставлен, и уж точно не доказывает, что нужное приложение доступно.

Руководство по подключениям FortiClient имеет версии, поэтому читайте выпуск, соответствующий установленному пакету. Если настройка не удалась, сообщите сборку клиента, версию macOS, идентичность профиля, время и первую значимую ошибку, а экспортированные секреты и закрытые ключи держите вне отчёта.

Успешная настройка означает, что одобренный клиент, владелец политики, метод аутентификации и путь к ресурсу согласованы. Это не означает, что каждому Mac нужен каждый модуль безопасности или что каждый запрос разрешения следует принимать без чтения.