Стандардни корисник Mac-а са управљаним VPN-ом: шта ИТ мора да преузме

Стандардни macOS налози могу цео дан да покрећу корпоративни VPN, док ИТ задржава сваку привилеговану операцију. Доћи тамо је одлука о испоруци, а не расправа о дозволама: изаберите ко инсталира клијента, ко пише везу и шта корисник сме да мења. Три пута покривају скоро сваки случај, и сваки не успева на другачији начин. Изаберите пут према власништву уређаја и типу акредитива, а затим га тестирајте као стандардни корисник, а не као ви.

Три пута испоруке и шта сваки решава

Први пут је управљани конфигурациони профил који доставља систем за управљање уређајима организације. VPN терет носи мрежни пролаз, метод провере идентитета, руте и DNS, и инсталира се кроз канал уређаја или корисника зависно од тога како је Mac регистрован. Други пут је самостални инсталатер: корисник покреће одобрен пакет који поставља клијента и пише везу уместо њега. То ради када нема регистрације у управљању, али организација и даље жели конфигурацију која се може поновити и прегледати. Трећи пут је да корисник ручно направи везу у системским подешавањима, следећи објављене вредности. Најјефтинији је за почетак и најскупљи за подршку, јер свака грешка на страни клијента постаје позив помоћној служби, а свака промена белешка.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Прочитајте први списак да видите које везе постоје и коме припадају, а друга два да видите шта је инсталирано као политика. Профил који се не појављује ни на једном списку није стигао, шта год је кориснику речено.

Одлучујте по власништву уређаја, не по стажу

Mac у власништву организације обично оправдава први пут, јер исти канал који доставља VPN може и да га уклони, а корисник не може тихо да мења везу. Изаберите канал уређаја када тунел мора да постоји пре него што се било који корисник пријави, и канал корисника када веза припада особи. Лични Mac са корпоративном услугом обично упућује на други пут. Организација не може да управља уређајем, зато инсталатер мора бити мали, повратљив и довољно документован да корисник може да га поништи.

Трећи пут остаје разуман за неколико техничких корисника са стабилним подешавањем и за свакога ко тестира мрежни пролаз пре увођења. Испод тог обима он постаје неревидиран скуп ручно откуцаних подешавања који нико не може да попише.

Одвојите профил од налога

Локални профил везе каже како се стиже до мрежног пролаза. Налог овлашћен на пролазу каже да ли позивалац сме да уђе. Њих обезбеђују различити људи и опозивају их из различитих разлога, зато никада не третирајте профил као ауторизацију. Сертификати стоје између. Сертификат достављен са профилом проверава идентитет уређаја или корисника, а његово опозивање на пролазу прекида приступ чак и ако профил остане на диску. Дизајн само са лозинком ослања се на животни циклус налога, зато белешка о предаји мора да каже које од два је на снази.

Одлучите и да ли је клијент системски VPN или тунел по апликацији. Дизајн по апликацији усмерава само изабране апликације, и зависи од тога да ли клијент подржава тај модел на коришћеној верзији macOS-а, зато то проверите на пробној машини уместо да претпоставите да подешавање путује.

Предајте без администраторске лозинке

Корисник треба да покрене везу, пријави се и опорави после промене лозинке. Ништа од тога не захтева администраторски налог, и ништа не оправдава уграђивање акредитива у скрипту, Automator радњу или корак после инсталације потписаног пакета.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Прве две команде су операције на нивоу корисника кроз које помоћна служба може некога да води. Трећа чита недавну активност тунела када веза не успе, и то је артефакт који треба тражити уместо снимка екрана дијалога са грешком.

Ако неки корак и даље тражи администраторско одобрење, то је недостатак испоруке: вратите тачан захтев власнику профила уместо да поделите налог са више овлашћења него што задатак тражи.

Пријавите се као стандардни корисник, па запишите излаз

Пријавите се стандардним налогом, повежите се, стигните до предвиђеног интерног домаћина, пустите Mac да заспи, пробудите га и потврдите поновно повезивање. Поновите после промене лозинке, јер ту половина ових увођења заиста не успева. Запишите пут опоравка пре него што га први корисник затражи: шта радити када профил недостаје, када је сертификат истекао и када пролаз одбије иначе важећу пријаву. Држите та три одговора тамо где помоћна служба може да их нађе.

На крају, испланирајте уклањање. VPN који не може да се уклони са Mac-а корисника који одлази у једној операцији је налаз прегледа приступа који ће се ускоро догодити.