Karaniwang user ng Mac na may pinamamahalaang VPN: ano ang dapat pasanin ng IT

Ang mga karaniwang account sa macOS ay maaaring magpatakbo ng corporate VPN buong araw habang pinapanatili ng IT ang bawat pribilehiyadong operasyon. Ang pagdating doon ay desisyon sa paghahatid, hindi debate tungkol sa mga pahintulot: piliin kung sino ang mag-install ng client, sino ang magsusulat ng koneksyon at ano ang maaaring baguhin ng user. Tatlong ruta ang sumasaklaw sa halos lahat ng kaso, at bawat isa ay nabigo sa ibang paraan. Piliin ang ruta batay sa pagmamay-ari ng device at uri ng kredensyal, pagkatapos ay subukan ito bilang karaniwang user at hindi bilang ikaw mismo.

Tatlong ruta ng paghahatid at kung ano ang tinatapos ng bawat isa

Ang unang ruta ay isang pinamamahalaang profile ng configuration na ibinibigay ng pamamahala ng device ng organisasyon. Ang payload ng VPN ay nagdadala ng gateway, paraan ng pagpapatunay, mga ruta at DNS, at naka-install sa channel ng device o user depende sa kung paano nakarehistro ang Mac. Ang ikalawang ruta ay self-service installer: pinapatakbo ng user ang isang aprubadong pakete na naglalagay ng client at nagsusulat ng koneksyon para sa kanya. Gumagana ito kapag walang rehistro sa pamamahala ngunit nais pa rin ng organisasyon ng config na mauulit at masusuri. Ang ikatlong ruta ay ang user mismo ang gumawa ng koneksyon sa Settings ng System, sumusunod sa mga nailathalang halaga. Ito ang pinakamurang simulan at pinakamahal suportahan, dahil bawat pagkakamali sa panig ng client ay nagiging tawag sa help desk at bawat pagbabago ay nagiging memo.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Basahin ang unang listahan upang makita kung anong mga koneksyon ang mayroon at kanino sila, at ang dalawa pa upang makita kung ano ang naka-install bilang patakaran. Ang profile na hindi lumilitaw sa alinmang listahan ay hindi dumating, anuman ang sinabi sa user.

Magpasya batay sa pagmamay-ari ng device, hindi sa seniority

Ang Mac na pag-aari ng organisasyon ay karaniwang nagbibigay-katwiran sa unang ruta, dahil ang parehong channel na naghahatid ng VPN ay maaari ring mag-alis nito, at hindi maaaring tahimik na i-edit ng user ang koneksyon. Piliin ang channel ng device kapag kailangang umiral ang tunnel bago mag-sign in ang sinumang user, at ang channel ng user kapag ang koneksyon ay pag-aari ng tao. Ang Mac na personal na pag-aari na may corporate service ay karaniwang tumuturo sa ikalawang ruta. Hindi mapamamahalaan ng organisasyon ang device, kaya ang installer ay dapat maliit, maibabalik at may sapat na dokumentasyon upang maibalik ito ng user.

Ang ikatlong ruta ay nananatiling makatwiran para sa kakaunting technical na user na may matatag na setup, at para sa sinumang sumusubok ng gateway bago ito ilunsad. Sa ilalim ng sukat na iyon ito ay nagiging hindi na-audit na hanay ng mga setting na itina-type ng kamay na walang makakagawa ng imbentaryo.

Ihiwalay ang profile sa account

Ang lokal na profile ng koneksyon ay nagsasabi kung paano maabot ang gateway. Ang account na pinahintulutan sa gateway ay nagsasabi kung maaaring pumasok ang tumatawag. Ibinibigay ang mga ito ng iba't ibang tao at binabawi dahil sa iba't ibang dahilan, kaya huwag kailanman ituring ang profile bilang ang awtorisasyon. Ang mga sertipiko ay nasa pagitan. Ang sertipikong ibinigay kasama ng profile ay nagpapatunay sa device o user, at ang pagbawi nito sa gateway ay nagtatapos sa access kahit manatili ang profile sa disk. Ang disenyong password lamang ay sumasandal sa lifecycle ng account sa halip, kaya dapat sabihin ng turnover note kung alin sa dalawa ang gumagana.

Magpasya rin kung ang client ay system VPN o tunnel bawat app. Ang disenyo bawat app ay nagruruta lamang ng mga piniling app, at nakadepende ito sa kung sinusuportahan ng client ang modelong iyon sa ginagamit na bersyon ng macOS, kaya i-verify ito sa pilot machine sa halip na ipagpalagay na kasama itong gumagalaw.

Ibigay nang walang password ng administrator

Kailangan ng user na simulan ang koneksyon, mag-sign in at makabawi pagkatapos ng pagbabago ng password. Wala sa mga ito ang nangangailangan ng administrator account, at wala sa mga ito ang nagbibigay-katwiran sa paglalagay ng kredensyal sa script, aksyon ng Automator o hakbang pagkatapos ng pag-install ng pinirmahang pakete.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Ang unang dalawang utos ay mga operasyon sa antas ng user na maaaring gabayan ng help desk ang isang tao. Ang ikatlo ay nagbabasa ng kamakailang aktibidad ng tunnel kapag nabigo ang koneksyon, at iyon ang artifact na dapat hilingin sa halip na screenshot ng dialog ng error.

Kung ang isang hakbang ay nangangailangan pa rin ng pag-apruba ng administrator, iyon ay depekto sa paghahatid: ibalik ang eksaktong prompt sa may-ari ng profile sa halip na mamigay ng account na may mas maraming awtoridad kaysa kailangan ng gawain.

Mag-sign in bilang karaniwang user, pagkatapos ay isulat ang labasan

Mag-sign in gamit ang karaniwang account, kumonekta, maabot ang nilalayong internal host, hayaang matulog ang Mac, gisingin ito at kumpirmahin ang muling pagkonekta. Ulitin pagkatapos ng pagbabago ng password, dahil doon talaga nabigo ang kalahati ng mga deployment na ito. Isulat ang landas ng pagbawi bago ito kailanganin ng unang user: ano ang gagawin kapag wala ang profile, kapag nag-expire ang sertipiko at kapag tinatanggihan ng gateway ang isang login na valid sa ibang aspeto. Itago ang tatlong sagot na iyon kung saan makikita ito ng help desk.

Sa wakas, planuhin ang pagtanggal. Ang VPN na hindi matanggal mula sa Mac ng umaalis na user sa isang operasyon ay isang natuklasan sa pagsusuri ng access na malapit nang mangyari.