Bežný používateľ Macu so spravovaným VPN: čo musí prevziať IT

Bežné účty macOS môžu celý deň prevádzkovať firemné VPN, zatiaľ čo IT si ponecháva každú privilegovanú operáciu. Dostať sa tam je rozhodnutie o doručení, nie spor o oprávnenia: vyberte, kto nainštaluje klienta, kto vytvorí pripojenie a čo smie používateľ meniť. Tri cesty pokrývajú takmer každý prípad a každá zlyháva inak. Vyberte cestu podľa vlastníctva zariadenia a typu prihlasovacích údajov, potom ju otestujte ako bežný používateľ, nie ako vy sami.

Tri cesty doručenia a čo každá rieši

Prvá cesta je spravovaný konfiguračný profil, ktorý doručuje systém správy zariadení organizácie. VPN obsah nesie bránu, metódu overovania, trasy a DNS a inštaluje sa kanálom zariadenia alebo používateľa podľa toho, ako je Mac zaregistrovaný. Druhá cesta je samoobslužný inštalátor: používateľ spustí schválený balík, ktorý umiestni klienta a zapíše pripojenie za neho. Funguje, keď chýba registrácia v správe, ale organizácia napriek tomu chce opakovateľnú a preskúmateľnú konfiguráciu. Tretia cesta je, že používateľ vytvorí pripojenie ručne v Nastaveniach systému podľa zverejnených hodnôt. Je najlacnejšia na začiatok a najdrahšia na podporu, pretože každá chyba na strane klienta sa stane telefonátom na helpdesk a každá zmena poznámkou.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Prečítajte prvý výpis, aby ste videli, ktoré pripojenia existujú a komu patria, a ďalšie dva, aby ste videli, čo bolo nainštalované ako zásada. Profil, ktorý sa neobjaví v žiadnom výpise, nedorazil, nech už bolo používateľovi povedané čokoľvek.

Rozhodujte podľa vlastníctva zariadenia, nie podľa funkcie

Mac vo vlastníctve organizácie zvyčajne ospravedlňuje prvú cestu, pretože rovnaký kanál, ktorý VPN doručuje, ju môže aj odstrániť, a používateľ nemôže pripojenie potichu upravovať. Zvoľte kanál zariadenia, keď tunel musí existovať pred prihlásením akéhokoľvek používateľa, a kanál používateľa, keď pripojenie patrí osobe. Osobný Mac s firemnou službou zvyčajne ukazuje na druhú cestu. Organizácia nemôže zariadenie spravovať, takže inštalátor musí byť malý, vratný a dostatočne zdokumentovaný, aby ho používateľ mohol zrušiť.

Tretia cesta zostáva rozumná pre hŕstku technických používateľov so stabilným nastavením a pre každého, kto testuje bránu pred zavedením. Pod touto mierou sa mení na neauditovanú sadu ručne písaných nastavení, ktorú nikto nedokáže zinventarizovať.

Oddeľte profil od účtu

Miestny profil pripojenia hovorí, ako sa dostať k bráne. Účet autorizovaný na bráne hovorí, či volajúci smie vstúpiť. Zriaďujú ich rôzni ľudia a rušia sa z rôznych dôvodov, takže profil nikdy nepovažujte za autorizáciu. Certifikáty stoja medzi nimi. Certifikát doručený s profilom overuje zariadenie alebo používateľa a jeho zrušenie na bráne ukončí prístup, aj keď profil zostane na disku. Návrh iba s heslom sa namiesto toho opiera o životný cyklus účtu, a preto musí odovzdávacia poznámka povedať, ktorý z dvoch je v hre.

Rozhodnite tiež, či je klient systémová VPN alebo tunel pre jednotlivé aplikácie. Návrh pre jednotlivé aplikácie smeruje iba vybrané aplikácie a závisí od toho, či klient podporuje tento model na používanej verzii macOS, takže to overte na pilotnom stroji, namiesto toho aby ste predpokladali, že nastavenie poputuje.

Odovzdajte bez administrátorského hesla

Používateľ musí pripojenie spustiť, prihlásiť sa a zotaviť sa po zmene hesla. Nič z toho nevyžaduje administrátorský účet a nič neospravedlňuje vloženie prihlasovacích údajov do skriptu, akcie Automator alebo kroku po inštalácii podpísaného balíka.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Prvé dva príkazy sú operácie na úrovni používateľa, ktorými môže helpdesk niekoho previesť. Tretí číta nedávnu aktivitu tunela, keď pripojenie zlyhá, a to je artefakt, ktorý treba žiadať namiesto snímky obrazovky s dialógom chyby.

Ak niektorý krok stále vyžaduje schválenie administrátora, je to chyba doručenia: pošlite presnú výzvu späť vlastníkovi profilu, namiesto toho aby ste vydali účet s väčšími právomocami, než úloha potrebuje.

Prihláste sa ako bežný používateľ a potom napíšte cestu von

Prihláste sa štandardným účtom, pripojte sa, dosiahnite zamýšľaného interného hostiteľa, nechajte Mac zaspať, prebuďte ho a potvrďte opätovné pripojenie. Zopakujte to po zmene hesla, pretože práve tam polovica týchto zavedení skutočne zlyháva. Zapíšte cestu obnovy skôr, než ju bude prvý používateľ potrebovať: čo robiť, keď profil chýba, keď certifikát vypršal a keď brána odmietne inak platné prihlásenie. Uchovajte tie tri odpovede tam, kde ich helpdesk nájde.

Nakoniec naplánujte odstránenie. VPN, ktorú nemožno odstrániť z Macu odchádzajúceho používateľa jednou operáciou, je zistenie z revízie prístupu, ktoré sa chystá nastať.