ผู้ใช้ Mac ทั่วไปกับ VPN ที่มีการจัดการ: IT ต้องรับผิดชอบอะไร

บัญชี macOS ทั่วไปสามารถใช้ VPN ขององค์กรได้ทั้งวัน ขณะที่ IT เก็บงานที่ต้องใช้สิทธิพิเศษไว้เองทุกอย่าง การไปถึงจุดนั้นเป็นการตัดสินใจเรื่องการส่งมอบ ไม่ใช่การโต้เถียงเรื่องสิทธิ์: เลือกว่าจะให้ใครติดตั้งไคลเอนต์ ใครเขียนการเชื่อมต่อ และผู้ใช้ได้รับอนุญาตให้เปลี่ยนอะไร สามเส้นทางครอบคลุมเกือบทุกกรณี และแต่ละทางล้มเหลวต่างกัน เลือกเส้นทางตามความเป็นเจ้าของอุปกรณ์และประเภทข้อมูลรับรอง แล้วทดสอบในฐานะผู้ใช้ทั่วไป ไม่ใช่ในฐานะตัวคุณเอง

สามเส้นทางส่งมอบและสิ่งที่แต่ละทางตัดสิน

เส้นทางแรกคือโปรไฟล์การกำหนดค่าที่จัดการ ซึ่งระบบจัดการอุปกรณ์ขององค์กรเป็นผู้ส่งมอบ เพย์โหลด VPN บรรจุเกตเวย์ วิธีการตรวจสอบสิทธิ์ เส้นทาง และ DNS และติดตั้งผ่านช่องทางอุปกรณ์หรือผู้ใช้ ขึ้นอยู่กับวิธีที่ Mac ลงทะเบียน เส้นทางที่สองคือตัวติดตั้งแบบบริการตนเอง: ผู้ใช้เรียกใช้แพ็กเกจที่อนุมัติแล้ว ซึ่งติดตั้งไคลเอนต์และเขียนการเชื่อมต่อให้ วิธีนี้ทำงานเมื่อไม่มีการลงทะเบียนในระบบจัดการ แต่องค์กรยังต้องการการกำหนดค่าที่ทำซ้ำได้และตรวจสอบได้ เส้นทางที่สามคือผู้ใช้สร้างการเชื่อมต่อด้วยตนเองในการตั้งค่าระบบ ตามค่าที่ประกาศไว้ เป็นวิธีที่เริ่มต้นถูกที่สุดและดูแลแพงที่สุด เพราะทุกความผิดพลาดฝั่งไคลเอนต์กลายเป็นสายถึงฝ่ายช่วยเหลือ และทุกการเปลี่ยนแปลงกลายเป็นบันทึก

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

อ่านรายการแรกเพื่อดูว่ามีการเชื่อมต่อใดและใครเป็นเจ้าของ และอ่านอีกสองรายการเพื่อดูว่ามีอะไรถูกติดตั้งในฐานะนโยบาย โปรไฟล์ที่ไม่ปรากฏในรายการใดเลยแสดงว่ายังมาไม่ถึง ไม่ว่าผู้ใช้จะได้รับคำบอกเล่าอย่างไร

ตัดสินจากความเป็นเจ้าของอุปกรณ์ ไม่ใช่จากอาวุโส

Mac ที่องค์กรเป็นเจ้าของมักทำให้เส้นทางแรกสมเหตุสมผล เพราะช่องทางเดียวกับที่ส่งมอบ VPN สามารถถอดออกได้ และผู้ใช้ไม่สามารถแก้ไขการเชื่อมต่ออย่างเงียบ ๆ เลือกช่องทางอุปกรณ์เมื่ออุโมงค์ต้องมีอยู่ก่อนที่ผู้ใช้คนใดจะลงชื่อเข้าใช้ และเลือกช่องทางผู้ใช้เมื่อการเชื่อมต่อเป็นของบุคคลนั้น Mac ที่เป็นเจ้าของส่วนตัวพร้อมบริการองค์กรมักชี้ไปที่เส้นทางที่สอง องค์กรไม่สามารถจัดการอุปกรณ์ได้ ตัวติดตั้งจึงต้องเล็ก ย้อนกลับได้ และมีเอกสารเพียงพอให้ผู้ใช้ยกเลิกได้

เส้นทางที่สามยังคงสมเหตุสมผลสำหรับผู้ใช้สายเทคนิคจำนวนไม่มากที่มีการตั้งค่าที่มั่นคง และสำหรับใครก็ตามที่ทดสอบเกตเวย์ก่อนการนำไปใช้ ต่ำกว่าขอบเขตนั้น มันกลายเป็นชุดการตั้งค่าที่พิมพ์ด้วยมือซึ่งไม่มีการตรวจสอบและไม่มีใครสามารถทำบัญชีได้

แยกโปรไฟล์ออกจากบัญชี

โปรไฟล์การเชื่อมต่อภายในเครื่องบอกวิธีไปถึงเกตเวย์ บัญชีที่ได้รับอนุญาตที่เกตเวย์บอกว่าผู้เรียกสามารถเข้าได้หรือไม่ ทั้งสองถูกจัดเตรียมโดยคนละคนและถูกเพิกถอนด้วยเหตุผลต่างกัน จึงอย่าถือว่าโปรไฟล์คือการอนุญาต ใบรับรองอยู่ตรงกลาง ใบรับรองที่ส่งมอบพร้อมโปรไฟล์จะตรวจสอบสิทธิ์อุปกรณ์หรือผู้ใช้ และการเพิกถอนที่เกตเวย์จะยุติการเข้าถึงแม้โปรไฟล์ยังอยู่บนดิสก์ การออกแบบที่ใช้เพียงรหัสผ่านจะพึ่งพาวงจรชีวิตของบัญชีแทน ซึ่งเป็นเหตุให้บันทึกการส่งมอบต้องระบุว่าอันไหนกำลังทำงานอยู่

ตัดสินด้วยว่าไคลเอนต์เป็น VPN ระดับระบบหรืออุโมงค์รายแอป การออกแบบรายแอปจะกำหนดเส้นทางเฉพาะแอปที่เลือก และขึ้นอยู่กับว่าไคลเอนต์รองรับรูปแบบนั้นในเวอร์ชัน macOS ที่ใช้งานอยู่หรือไม่ จึงตรวจสอบบนเครื่องนำร่องแทนการสมมติว่าการตั้งค่าจะติดไปด้วย

ส่งมอบโดยไม่ใช้รหัสผ่านผู้ดูแลระบบ

ผู้ใช้ต้องเริ่มการเชื่อมต่อ ลงชื่อเข้าใช้ และกู้คืนหลังการเปลี่ยนรหัสผ่าน ไม่มีข้อใดต้องใช้บัญชีผู้ดูแลระบบ และไม่มีข้อใดทำให้การฝังข้อมูลรับรองในสคริปต์ การกระทำของ Automator หรือขั้นตอนหลังการติดตั้งแพ็กเกจที่ลงนามแล้วเป็นเรื่องสมเหตุสมผล

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

สองคำสั่งแรกเป็นการดำเนินการระดับผู้ใช้ที่ฝ่ายช่วยเหลือสามารถแนะนำใครคนหนึ่งผ่านไปได้ คำสั่งที่สามอ่านกิจกรรมอุโมงค์ล่าสุดเมื่อการเชื่อมต่อล้มเหลว และนี่คือสิ่งที่ควรขอแทนภาพหน้าจอของกล่องข้อผิดพลาด

หากขั้นตอนใดยังต้องได้รับการอนุมัติจากผู้ดูแลระบบ นั่นคือข้อบกพร่องในการส่งมอบ: ส่งคำขอที่แน่นอนกลับไปยังเจ้าของโปรไฟล์ แทนที่จะแจกบัญชีที่มีอำนาจมากกว่าที่งานต้องการ

ลงชื่อเข้าใช้ในฐานะผู้ใช้ทั่วไป แล้วเขียนทางออก

ลงชื่อเข้าใช้ด้วยบัญชีทั่วไป เชื่อมต่อ ไปถึงโฮสต์ภายในที่ต้องการ ปล่อยให้ Mac นอนหลับ ปลุก และยืนยันการเชื่อมต่อใหม่ ทำซ้ำหลังการเปลี่ยนรหัสผ่าน เพราะนั่นคือจุดที่ครึ่งหนึ่งของการติดตั้งเหล่านี้ล้มเหลวจริง เขียนเส้นทางการกู้คืนก่อนที่ผู้ใช้คนแรกจะต้องการ: จะทำอย่างไรเมื่อไม่มีโปรไฟล์ เมื่อใบรับรองหมดอายุ และเมื่อเกตเวย์ปฏิเสธการลงชื่อเข้าใช้ที่ถูกต้องในด้านอื่น เก็บคำตอบทั้งสามไว้ในที่ที่ฝ่ายช่วยเหลือหาได้

สุดท้าย วางแผนการถอดออก VPN ที่ไม่สามารถ ถอดออกจาก Mac ของผู้ใช้ที่จากไป ในการดำเนินการเดียวคือสิ่งที่การตรวจสอบการเข้าถึงจะพบในไม่ช้า