Yönetilen VPN kullanan standart Mac kullanıcısı: BT neyi üstlenmeli

Standart macOS hesapları gün boyu kurumsal bir VPN çalıştırabilirken BT her ayrıcalıklı işlemi kendinde tutar. Oraya varmak bir teslimat kararıdır, izin tartışması değil: istemciyi kimin kuracağını, bağlantıyı kimin yazacağını ve kullanıcının neyi değiştirebileceğini seçin. Üç yol neredeyse her durumu kapsar ve her biri farklı biçimde başarısız olur. Yolu cihaz sahipliğine ve kimlik bilgisi türüne göre seçin, sonra kendiniz olarak değil standart kullanıcı olarak test edin.

Üç teslimat yolu ve her birinin neyi çözdüğü

Birinci yol, kuruluşun cihaz yönetimi tarafından teslim edilen yönetilen bir yapılandırma profilidir. VPN yükü ağ geçidini, kimlik doğrulama yöntemini, rotaları ve DNS'i taşır ve Mac'in nasıl kaydedildiğine bağlı olarak cihaz veya kullanıcı kanalıyla kurulur. İkinci yol bir self-servis yükleyicidir: kullanıcı, istemciyi yerleştiren ve bağlantıyı onun adına yazan onaylı bir paketi çalıştırır. Bu, yönetim kaydı yokken ama kuruluş yine de tekrarlanabilir ve gözden geçirilebilir bir yapılandırma istediğinde çalışır. Üçüncü yol, kullanıcının yayımlanmış değerleri izleyerek bağlantıyı Sistem Ayarları'nda elle oluşturmasıdır. Başlaması en ucuz, desteklenmesi en pahalı yoldur, çünkü istemci tarafındaki her hata yardım masasına bir telefon ve her değişiklik bir not olur.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Hangi bağlantıların olduğunu ve kime ait olduğunu görmek için ilk listeyi, politika olarak neyin kurulduğunu görmek için diğer ikisini okuyun. İki listeden hiçbirinde görünmeyen bir profil, kullanıcıya ne söylenmiş olursa olsun gelmemiştir.

Kıdeme göre değil, cihaz sahipliğine göre karar verin

Kuruluşa ait bir Mac genellikle birinci yolu haklı çıkarır, çünkü VPN'i teslim eden aynı kanal onu kaldırabilir ve kullanıcı bağlantıyı sessizce düzenleyemez. Tünel herhangi bir kullanıcı oturum açmadan önce var olması gerekiyorsa cihaz kanalını, bağlantı kişiye aitse kullanıcı kanalını seçin. Kurumsal hizmeti olan kişisel bir Mac genellikle ikinci yolu gösterir. Kuruluş cihazı yönetemez, bu yüzden yükleyici küçük, geri alınabilir ve kullanıcının iptal edebileceği kadar belgelenmiş olmalıdır.

Üçüncü yol, istikrarlı bir kuruluma sahip birkaç teknik kullanıcı ve bir ağ geçidini devreye almadan önce test eden herkes için makul kalır. Bu ölçeğin altında, kimsenin envanterini çıkaramayacağı, elle yazılmış ayarlardan oluşan denetlenmemiş bir kümeye dönüşür.

Profili hesaptan ayırın

Yerel bir bağlantı profili ağ geçidine nasıl ulaşılacağını söyler. Ağ geçidinde yetkilendirilmiş bir hesap, arayanın girip giremeyeceğini söyler. Bunları farklı kişiler sağlar ve farklı nedenlerle iptal eder, bu yüzden profili asla yetkilendirme olarak ele almayın. Sertifikalar arada durur. Profille birlikte verilen bir sertifika cihazı veya kullanıcıyı doğrular ve ağ geçidinde iptal edilmesi, profil diskte kalsa bile erişimi bitirir. Yalnızca parolaya dayanan bir tasarım bunun yerine hesabın yaşam döngüsüne yaslanır, bu yüzden devir notu ikisinden hangisinin yürürlükte olduğunu söylemelidir.

İstemcinin sistem VPN'i mi yoksa uygulama başına tünel mi olduğuna da karar verin. Uygulama başına tasarım yalnızca seçilen uygulamaları yönlendirir ve istemcinin kullanılan macOS sürümünde bu modeli desteklemesine bağlıdır, bu yüzden ayarın birlikte geldiğini varsaymak yerine pilot bir makinede doğrulayın.

Yönetici parolası olmadan devredin

Kullanıcının bağlantıyı başlatması, oturum açması ve parola değişikliğinden sonra toparlanması gerekir. Bunların hiçbiri yönetici hesabı gerektirmez ve hiçbiri kimlik bilgilerini bir betiğe, Automator eylemine veya imzalı bir paketin kurulum sonrası adımına gömmeyi haklı çıkarmaz.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

İlk iki komut, yardım masasının birine rehberlik edebileceği kullanıcı düzeyindeki işlemlerdir. Üçüncüsü, bir bağlantı başarısız olduğunda son tünel etkinliğini okur ve bir hata iletişim kutusunun ekran görüntüsü yerine istenmesi gereken artefakt budur.

Bir adım hâlâ yönetici onayı gerektiriyorsa bu bir teslimat kusurudur: görevin ihtiyaç duyduğundan daha fazla yetkiye sahip bir hesap vermek yerine tam istemi profil sahibine geri gönderin.

Standart kullanıcı olarak oturum açın, sonra çıkışı yazın

Standart hesapla oturum açın, bağlanın, amaçlanan iç ana bilgisayara ulaşın, Mac'in uyumasına izin verin, uyandırın ve yeniden bağlanmayı doğrulayın. Parola değişikliğinden sonra bunu tekrarlayın, çünkü bu dağıtımların yarısı tam olarak orada gerçekten başarısız olur. Kurtarma yolunu ilk kullanıcı gereksinmeden önce yazın: profil eksik olduğunda, sertifikanın süresi dolduğunda ve ağ geçidi aksi hâlde geçerli bir oturum açmayı reddettiğinde ne yapılacağını. Bu üç yanıtı yardım masasının bulabileceği yerde tutun.

Son olarak kaldırmayı planlayın. Tek bir işlemde ayrılan bir kullanıcının Mac'inden kaldırılamayan bir VPN, gerçekleşmek üzere olan bir erişim incelemesi bulgusudur.