Përdorues standard i Mac me një VPN të menaxhuar: çfarë duhet të marrë përsipër IT

Llogaritë standarde të macOS mund të drejtojnë një VPN korporative gjithë ditën, ndërsa IT mban çdo operacion të privilegjuar. Të arrish atje është një vendim dorëzimi, jo një debat për lejet: zgjidhni kush e instalon klientin, kush e shkruan lidhjen dhe çfarë lejohet të ndryshojë përdoruesi. Tre rrugë mbulojnë pothuajse çdo rast, dhe secila dështon në mënyrë të ndryshme. Zgjidhni rrugën sipas pronësisë së pajisjes dhe llojit të kredencialeve, pastaj provojeni si përdorues standard dhe jo si ju vetë.

Tre rrugë dorëzimi dhe çfarë zgjidh secila

Rruga e parë është një profil konfigurimi i menaxhuar që dorëzohet nga menaxhimi i pajisjeve i organizatës. Ngarkesa e VPN-së mbart portën, metodën e vërtetimit, rrugët dhe DNS-në, dhe instalohet përmes kanalit të pajisjes ose të përdoruesit sipas mënyrës se si është regjistruar Mac-i. Rruga e dytë është një instalues vetë-shërbimi: përdoruesi ekzekuton një paketë të miratuar që vendos klientin dhe shkruan lidhjen në vend të tij. Funksionon kur nuk ka regjistrim menaxhimi, por organizata ende dëshiron një konfigurim të përsëritshëm dhe të rishikueshëm. Rruga e tretë është që përdoruesi ta krijojë lidhjen me dorë në Cilësimet e Sistemit, duke ndjekur vlera të publikuara. Është më e lira për t'u nisur dhe më e shtrenjta për t'u mbështetur, sepse çdo gabim në anën e klientit bëhet telefonatë në ndihmë dhe çdo ndryshim bëhet shënim.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Lexoni listën e parë për të parë cilat lidhje ekzistojnë dhe kujt i përkasin, dhe dy të tjerat për të parë çfarë u instalua si politikë. Një profil që nuk shfaqet në asnjërën listë nuk ka mbërritur, çfarëdo që i është thënë përdoruesit.

Vendosni sipas pronësisë së pajisjes, jo sipas vjetërsisë

Një Mac në pronësi të organizatës zakonisht e justifikon rrugën e parë, sepse i njëjti kanal që dorëzon VPN-në mund ta heqë atë, dhe përdoruesi nuk mund ta modifikojë lidhjen në heshtje. Zgjidhni kanalin e pajisjes kur tuneli duhet të ekzistojë para se të hyjë ndonjë përdorues, dhe kanalin e përdoruesit kur lidhja i përket personit. Një Mac në pronësi personale me një shërbim korporativ zakonisht tregon rrugën e dytë. Organizata nuk mund ta menaxhojë pajisjen, kështu që instaluesi duhet të jetë i vogël, i kthyeshëm dhe i dokumentuar mjaftueshëm që përdoruesi ta anulojë.

Rruga e tretë mbetet e arsyeshme për një grusht përdoruesish teknikë me një konfigurim të qëndrueshëm, dhe për këdo që provon një portë para se të vendoset. Nën atë shkallë ajo bëhet një grup i paaudituar cilësimesh të shkruara me dorë që askush nuk mund t'i inventarizojë.

Ndani profilin nga llogaria

Një profil lokal lidhjeje tregon si arrihet porta. Një llogari e autorizuar në portë tregon nëse thirrësi mund të hyjë. Ato përgatiten nga njerëz të ndryshëm dhe revokohen për arsye të ndryshme, prandaj kurrë mos e trajtoni profilin si autorizimin. Certifikatat qëndrojnë në mes. Një certifikatë e dorëzuar me profilin vërteton pajisjen ose përdoruesin, dhe revokimi i saj në portë i jep fund aksesit edhe nëse profili mbetet në disk. Një dizajn vetëm me fjalëkalim mbështetet në ciklin e jetës së llogarisë, prandaj shënimi i dorëzimit duhet të thotë cila prej të dyjave është në lojë.

Vendosni gjithashtu nëse klienti është VPN sistemi apo tunel për çdo aplikacion. Një dizajn për çdo aplikacion drejton vetëm aplikacionet e zgjedhura, dhe varet nga fakti nëse klienti e mbështet atë model në versionin e macOS që përdoret, prandaj verifikojeni në një makinë provë në vend që të supozoni se cilësimi udhëton.

Dorëzoni pa fjalëkalim administratori

Përdoruesi duhet të nisë lidhjen, të hyjë dhe të rikuperohet pas një ndryshimi fjalëkalimi. Asnjëra prej tyre nuk kërkon një llogari administratori, dhe asnjëra nuk e justifikon futjen e kredencialeve në një skript, një veprim Automator ose një hap pas instalimit të një pakete të nënshkruar.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Dy komandat e para janë operacione në nivel përdoruesi përmes të cilave një zyrë ndihme mund të udhëheqë dikë. E treta lexon aktivitetin e fundit të tunelit kur dështon një lidhje, dhe ky është artefakti që duhet kërkuar në vend të një pamje ekrani të një dialogu gabimi.

Nëse një hap ende kërkon miratim administratori, është defekt dorëzimi: kthejeni kërkesën e saktë te pronari i profilit në vend që të jepni një llogari me më shumë autoritet sesa i nevojitet detyrës.

Hyni si përdorues standard dhe më pas shkruani daljen

Hyni me llogarinë standarde, lidhuni, arrini hostin e brendshëm të synuar, lini Mac-in të flejë, zgjohuni dhe konfirmoni rilidhjen. Përsëriteni pas një ndryshimi fjalëkalimi, sepse pikërisht aty dështon në të vërtetë gjysma e këtyre vendosjeve. Shkruani rrugën e rikuperimit përpara se përdoruesi i parë të ketë nevojë për të: çfarë të bëhet kur mungon profili, kur certifikata ka skaduar dhe kur porta refuzon një hyrje ndryshe të vlefshme. Mbani ato tre përgjigje atje ku zyra e ndihmës mund t'i gjejë.

Së fundi, planifikoni heqjen. Një VPN që nuk mund të hiqet nga Mac-i i një përdoruesi që largohet në një operacion të vetëm është një gjetje e rishikimit të aksesit që po ndodh.