FortiClient på macOS: hanterad eller manuell, och vad du bör samla in

Installationen av FortiClient börjar med tjänsten du ansluter till, inte med VPN-knappen som visas först. En hanterad företags-Mac och en personligt konfigurerad klient kan behöva olika installationsprogram, olika policyägare och olika registreringssteg. Att bestämma den modellen först sparar en timme av att installera fel paket.

Bestäm ägarmodellen först

Välj hanterad när organisationen kör FortiClient EMS och förväntar sig att tillhandahålla anslutningar, profiler och säkerhetsmoduler centralt. Välj manuell endast när administratören bekräftar att manuell konfiguration är tillåten för ditt konto och din enhet. Skriv ned valet och förvara det tillsammans med enhetsregistret. Att ändra det senare är en nyregistrering, inte en kryssruta.

De två modellerna är inte utbytbara i efterhand. En hanterad profil kan låsas, och att ta bort hanteringen för att blotta manuella kontroller är en policyändring förklädd till felsökning. Om en låst profil blockerar anslutningen du behöver är det ett samtal med ägaren, inte en lokal kringgång.

Samla in anslutningsavtalet

Före installationen bör du samla in fem uppgifter: VPN-protokollet, gatewayens värdnamn, eventuell icke-standardport, autentiseringsmetoden och de certifikat eller token som ingår. Bekräfta också om EMS tillhandahåller anslutningen eller om du konfigurerar den manuellt.

Håll kontoinloggning, en klientcertifikatidentitet och en registreringstoken åtskilda. De kan förekomma i samma arbetsflöde utan att vara utbytbara autentiseringsuppgifter. Klistra inte in en fullständig webbläsarinloggnings-URL i ett gateway-fält, om inte distributionsinstruktionerna uttryckligen begär det formatet.

Anpassa protokollet till gateway-versionen

Det är gateway-programvaran som avgör vilka protokoll som är tillgängliga, inte klientmenyn. Fortinet dokumenterar att FortiOS 7.6.3 och senare inte längre stöder SSL VPN tunnelläge, så en äldre SSL-VPN-guide ersätter inte administratörens aktuella instruktioner. Fråga vilket läge gatewayen betjänar innan du väljer protokoll. Anteckna läget i anslutningsanteckningarna. Nästa person kommer att behöva det.

I en stödd SSL-VPN-distribution använder FortiClients dokumenterade form ett anslutningsnamn, en Remote Gateway och en valfri anpassad port. IPsec har sina egna inställningar, och att välja det är inte en konvertering av en SSL-profil. Kopiering av fält mellan de två ger en anslutning som ser konfigurerad ut och aldrig slutförs.

Installera, godkänn, tillhandahåll

Kör det godkända installationsprogrammet för den avsedda distributionen och slutför sedan de macOS-godkännanden det begär. Verifiera utgivaren och den begärda komponenten medan du godkänner systemtillägget och VPN-konfigurationen, eftersom behörighetsetiketter och platser ändras mellan macOS-versioner och en gammal skärmbild är inte skäl att försvaga startskyddet.

Om Macen är hanterad, låt den auktoriserade policyn tillhandahålla anslutningen och skriv inte över den. Om manuell installation är tillåten, öppna Remote Access och ange avtalet du samlade in. Anslut sedan med det tillhandahållna autentiseringsflödet, inklusive eventuell webbläsarbaserad enkel inloggning eller andra faktor, och validera serverns identitet i stället för att klicka igenom en oväntad certifikatvarning.

Verifiera resursen, inte den gröna ikonen

När tunneln är uppe, öppna det auktoriserade privata programmet och bekräfta att dess interna namn löses som förväntat. En ansluten-indikator är inte bevis på att varje rutt eller DNS-domän har tillhandahållits, och absolut inte bevis på att programmet du behöver är nåbart.

FortiClient-anslutningsguiden är versionerad, så läs utgåvan som matchar det installerade paketet. Om installationen misslyckas, rapportera klientbuilden, macOS-versionen, profilidentiteten, tiden och det första meningsfulla felet, och håll exporterade hemligheter och privata nycklar utanför rapporten.

En lyckad installation innebär att den godkända klienten, policyägaren, autentiseringsmetoden och resurssökvägen alla stämmer överens. Det innebär inte att varje Mac behöver varje säkerhetsmodul, eller att varje behörighetsbegäran bör accepteras utan att läsas.