Vanlig Mac-användare med ett hanterat VPN: vad IT måste äga

Vanliga macOS-konton kan köra ett företags-VPN hela dagen medan IT behåller varje privilegierad åtgärd. Att komma dit är ett leveransbeslut, inte en rättighetsdiskussion: välj vem som installerar klienten, vem som skriver anslutningen och vad användaren får ändra. Tre vägar täcker nästan alla fall, och de misslyckas på olika sätt. Välj vägen utifrån enhetsägande och typ av autentiseringsuppgift, och testa den sedan som den vanliga användaren i stället för som du själv.

Tre leveransvägar och vad var och en avgör

Väg ett är en hanterad konfigurationsprofil som levereras av organisationens enhetshantering. VPN-nyttolasten innehåller gatewayen, autentiseringsmetoden, rutterna och DNS, och den installeras via enhets- eller användarkanalen beroende på hur Macen är registrerad. Väg två är en självbetjeningsinstallation: användaren kör ett godkänt paket som placerar klienten och skriver anslutningen åt honom. Det fungerar när det inte finns någon hanteringsregistrering, men organisationen ändå vill ha en upprepningsbar och granskningsbar konfiguration. Väg tre är att användaren skapar anslutningen manuellt i Systeminställningar enligt publicerade värden. Den är billigast att starta och dyrast att stödja, eftersom varje fel på klientsidan blir ett samtal till helpdesk och varje ändring en anteckning.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Läs den första listan för att se vilka anslutningar som finns och vem som äger dem, och de två andra för att se vad som installerades som policy. En profil som inte visas i någon av listorna har inte kommit fram, vad användaren än har fått höra.

Bestäm efter enhetsägande, inte efter anciennitet

En Mac som organisationen äger motiverar vanligtvis väg ett, eftersom samma kanal som levererar VPN-et också kan ta bort det, och användaren kan inte redigera anslutningen i tysthet. Välj enhetskanalen när tunneln måste finnas innan någon användare loggar in, och användarkanalen när anslutningen tillhör personen. En personligt ägd Mac med en företagstjänst pekar vanligtvis på väg två. Organisationen kan inte hantera enheten, så installationen måste vara liten, reversibel och tillräckligt dokumenterad för att användaren ska kunna ångra den.

Väg tre förblir rimlig för en handfull tekniska användare med en stabil uppsättning, och för alla som testar en gateway innan den rullas ut. Under den skalan blir den en icke-granskad samling handskrivna inställningar som ingen kan inventera.

Skilj profilen från kontot

En lokal anslutningsprofil säger hur gatewayen nås. Ett konto som är auktoriserat vid gatewayen säger om den som ringer får komma in. De tillhandahålls av olika personer och återkallas av olika skäl, så behandla aldrig profilen som auktorisationen. Certifikat ligger däremellan. Ett certifikat som levereras med profilen autentiserar enheten eller användaren, och återkallelse vid gatewayen avslutar åtkomsten även om profilen ligger kvar på disken. En design med bara lösenord lutar sig i stället mot kontots livscykel, och därför måste överlämningsanteckningen säga vilken av de två som är i spel.

Bestäm också om klienten är ett system-VPN eller en tunnel per app. En design per app dirigerar bara valda program, och det beror på om klienten stöder den modellen på den macOS-version som används, så verifiera det på en pilotmaskin i stället för att anta att inställningen följer med.

Lämna över utan administratörslösenord

Användaren måste starta anslutningen, logga in och återhämta sig efter en lösenordsändring. Inget av det kräver ett administratörskonto, och inget av det motiverar att bädda in autentiseringsuppgifter i ett skript, en Automator-åtgärd eller ett steg efter installationen av ett signerat paket.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

De två första kommandona är åtgärder på användarnivå som en helpdesk kan leda någon igenom. Det tredje läser nylig tunnelaktivitet när en anslutning misslyckas, och det är den artefakt som ska efterfrågas i stället för en skärmbild av en feldialog.

Om ett steg fortfarande kräver administratörsgodkännande är det en leveransdefekt: skicka tillbaka den exakta uppmaningen till profilägaren i stället för att dela ut ett konto med mer befogenhet än uppgiften behöver.

Logga in som vanlig användare och skriv sedan utgången

Logga in med standardkontot, anslut, nå den avsedda interna värden, låt Macen sova, väck den och bekräfta återanslutningen. Upprepa efter en lösenordsändring, för det är där hälften av dessa utrullningar faktiskt misslyckas. Skriv ner återställningsvägen innan den första användaren behöver den: vad man gör när profilen saknas, när certifikatet har gått ut och när gatewayen avvisar en i övrigt giltig inloggning. Förvara de tre svaren där helpdesken kan hitta dem.

Planera slutligen borttagningen. Ett VPN som inte kan tas bort från en avgående användares Mac i en enda åtgärd är ett fynd i en åtkomstgranskning som väntar på att hända.