Običajen uporabnik Maca z upravljanim VPN: kaj mora prevzeti IT

Običajni računi macOS lahko ves dan poganjajo poslovni VPN, medtem ko IT obdrži vsako privilegirano operacijo. Priti tja je odločitev o dostavi, ne razprava o pravicah: izberite, kdo namesti odjemalca, kdo napiše povezavo in kaj sme uporabnik spremeniti. Tri poti pokrijejo skoraj vsak primer in vsaka odpove drugače. Izberite pot glede na lastništvo naprave in vrsto poverilnic, nato pa jo preizkusite kot običajen uporabnik, ne kot vi sami.

Tri poti dostave in kaj vsaka reši

Prva pot je upravljani konfiguracijski profil, ki ga dostavi upravljanje naprav organizacije. VPN tovor nosi prehod, metodo preverjanja pristnosti, poti in DNS ter se namesti po kanalu naprave ali uporabnika glede na to, kako je Mac vpisan. Druga pot je samopostrežni namestitveni program: uporabnik zažene odobren paket, ki namesti odjemalca in namesto njega napiše povezavo. Deluje, ko vpisa v upravljanje ni, a organizacija še vedno želi ponovljivo in pregledno konfiguracijo. Tretja pot je, da uporabnik povezavo ustvari ročno v sistemskih nastavitvah po objavljenih vrednostih. Najcenejša je za začetek in najdražja za podporo, ker vsaka napaka na strani odjemalca postane klic v pomoč uporabnikom, vsaka sprememba pa zapis.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Preberite prvi seznam, da vidite, katere povezave obstajajo in kdo jih ima, ter druga dva, da vidite, kaj je bilo nameščeno kot pravilnik. Profil, ki se ne pojavi na nobenem seznamu, ni prispel, karkoli je bilo uporabniku rečeno.

Odločajte po lastništvu naprave, ne po delovni dobi

Mac v lasti organizacije običajno upraviči prvo pot, ker lahko isti kanal, ki dostavi VPN, to tudi odstrani, uporabnik pa povezave ne more tiho urejati. Izberite kanal naprave, ko mora tunel obstajati preden se prijavi kateri koli uporabnik, in kanal uporabnika, ko povezava pripada osebi. Osebni Mac s poslovno storitvijo običajno kaže na drugo pot. Organizacija naprave ne more upravljati, zato mora biti namestitveni program majhen, povraten in dovolj dokumentiran, da ga uporabnik lahko razveljavi.

Tretja pot ostaja razumna za peščico tehničnih uporabnikov s stabilno nastavitvijo in za vsakogar, ki prehod preizkusi pred uvedbo. Pod tem obsegom postane nerevidiran nabor ročno vpisanih nastavitev, ki ga nihče ne more popisati.

Ločite profil od računa

Lokalni profil povezave pove, kako priti do prehoda. Račun, pooblaščen na prehodu, pove, ali sme klicatelj vstopiti. Zagotavljajo jih različni ljudje in jih preklicujejo iz različnih razlogov, zato profila nikoli ne obravnavajte kot dovoljenje. Potrdila so vmes. Potrdilo, dostavljeno s profilom, overi napravo ali uporabnika, in njegov preklic na prehodu konča dostop, tudi če profil ostane na disku. Zasnova samo z geslom se opira na življenjski cikel računa, zato mora predajni zapis povedati, katero od dveh je v igri.

Odločite tudi, ali je odjemalec sistemski VPN ali tunel za posamezno aplikacijo. Zasnova za posamezno aplikacijo usmerja le izbrane aplikacije in je odvisna od tega, ali odjemalec podpira ta model v uporabljeni različici macOS, zato to preverite na poskusnem stroju, namesto da predpostavite, da nastavitev potuje zraven.

Predajte brez skrbniškega gesla

Uporabnik mora povezavo zagnati, se prijaviti in si opomoči po spremembi gesla. Nič od tega ne zahteva skrbniškega računa in nič ne upravičuje vgradnje poverilnic v skript, dejanje Automatorja ali korak po namestitvi podpisanega paketa.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Prva dva ukaza sta operaciji na ravni uporabnika, skozi kateri lahko pomoč uporabnikom nekoga vodi. Tretji prebere nedavno dejavnost tunela, ko povezava odpove, in to je artefakt, ki ga je treba zahtevati namesto posnetka zaslona z pogovornim oknom napake.

Če kateri korak še vedno zahteva skrbniško odobritev, je to napaka dostave: pošljite natančno poziv nazaj lastniku profila, namesto da izdate račun z več pooblastili, kot jih naloga potrebuje.

Prijavite se kot običajen uporabnik in nato opišite izhod

Prijavite se z običajnim računom, povežite se, dosezite predvidenega notranjega gostitelja, pustite Macu, da zaspi, ga prebudite in potrdite ponovno povezavo. Ponovite po spremembi gesla, ker prav tam polovica teh uvedb v resnici odpove. Zapišite pot obnovitve preden jo prvi uporabnik potrebuje: kaj storiti, ko profila ni, ko je potrdilo poteklo in ko prehod zavrne sicer veljavno prijavo. Hranite te tri odgovore tam, kjer jih pomoč uporabnikom lahko najde.

Nazadnje načrtujte odstranitev. VPN, ki ga ni mogoče odstraniti z Maca uporabnika, ki odhaja z eno operacijo, je ugotovitev pregleda dostopa, ki se bo kmalu zgodila.