FortiClient на macOS: керований чи ручний режим і що зібрати

Налаштування FortiClient починається з сервісу, до якого ви приєднуєтеся, а не з кнопки VPN, яка з'явиться першою. Керований корпоративний Mac і клієнт, налаштований вручну, можуть вимагати різних інсталяторів, різних власників політик і різних кроків реєстрації. Якщо визначити цю модель заздалегідь, можна заощадити годину на встановленні неправильного пакета.

Спочатку визначте модель керування

Виберіть керований режим, коли організація використовує FortiClient EMS і очікує централізованого надання з'єднань, профілів і модулів безпеки. Вибирайте ручний режим лише тоді, коли адміністратор підтвердить, що ручне налаштування дозволене для вашого облікового запису та пристрою. Запишіть вибір і зберігайте його разом із записом про пристрій. Змінити його пізніше — це повторна реєстрація, а не прапорець.

Ці дві моделі не є взаємозамінними заднім числом. Керований профіль можна заблокувати, а видалення керування, щоб відкрити ручні елементи, — це зміна політики під виглядом усунення несправностей. Якщо заблокований профіль блокує потрібне з'єднання, це розмова з власником, а не локальний обхід.

Зберіть договір про з'єднання

Перед встановленням зберіть п'ять вхідних даних: протокол VPN, ім'я хоста шлюзу, будь-який нестандартний порт, метод автентифікації та пов'язані сертифікати або токени. Також уточніть, чи надає EMS з'єднання, чи ви налаштовуєте його вручну.

Зберігайте окремо вхід до облікового запису, ідентичність клієнтського сертифіката й токен реєстрації. Вони можуть траплятися в одному робочому процесі, але не є взаємозамінними обліковими даними. Не вставляйте повний URL входу в браузері в поле шлюзу, якщо інструкції з розгортання явно не вимагають такого формату.

Узгодьте протокол із версією шлюзу

Які протоколи доступні, вирішує програмне забезпечення шлюзу, а не меню клієнта. Fortinet документує, що FortiOS 7.6.3 і новіші версії більше не підтримують SSL VPN тунельний режим, тому старий посібник з SSL-VPN не замінює поточних інструкцій адміністратора. Запитайте, який режим обслуговує шлюз, перш ніж вибирати протокол. Запишіть режим у нотатках про з'єднання. Наступній людині це знадобиться.

У підтримуваному розгортанні SSL-VPN документована форма FortiClient використовує ім'я з'єднання, Remote Gateway і необов'язковий налаштований порт. IPsec має власні налаштування, і його вибір не є перетворенням профілю SSL. Копіювання полів між ними створює з'єднання, яке виглядає налаштованим і ніколи не завершується.

Установіть, схваліть, надайте

Запустіть схвалений інсталятор для запланованого розгортання, потім виконайте потрібні схвалення macOS. Під час схвалення системного розширення та конфігурації VPN перевірте видавця й запитаний компонент, оскільки позначки та розташування дозволів змінюються між версіями macOS і старий знімок екрана не є причиною послаблювати безпеку завантаження.

Якщо Mac керований, дозвольте авторизованій політиці надати з'єднання і не перезаписуйте його. Якщо ручне налаштування дозволене, відкрийте Remote Access і введіть зібраний договір. Потім підключіться за допомогою наданого потоку автентифікації, включно з будь-яким єдиним входом через браузер або другим фактором, і перевірте ідентичність сервера замість того, щоб проходити через неочікуване попередження про сертифікат.

Перевірте ресурс, а не зелений значок

Після підняття тунелю відкрийте авторизований приватний застосунок і переконайтеся, що його внутрішнє ім'я розв'язується як очікувалося. Індикатор підключення не є доказом, що кожен маршрут або домен DNS надано, і точно не є доказом, що потрібний застосунок доступний.

Посібник зі з'єднань FortiClient має версії, тому читайте випуск, що відповідає встановленому пакету. Якщо налаштування не вдалося, повідомте збірку клієнта, версію macOS, ідентичність профілю, час і першу значущу помилку, а експортовані секрети й приватні ключі тримайте поза звітом.

Успішне налаштування означає, що схвалений клієнт, власник політики, метод автентифікації та шлях до ресурсу узгоджені. Це не означає, що кожному Mac потрібен кожен модуль безпеки або що кожен запит дозволу слід приймати без читання.