Звичайний користувач Mac з керованим VPN: що має взяти на себе ІТ-відділ

Звичайні облікові записи macOS можуть цілий день працювати з корпоративним VPN, а ІТ-відділ залишає за собою кожну привілейовану операцію. Дійти до цього — рішення про доставку, а не суперечка про права: виберіть, хто встановлює клієнт, хто створює підключення і що користувачеві дозволено змінювати. Три шляхи охоплюють майже всі випадки, і кожен відмовляє по-своєму. Виберіть шлях за належністю пристрою та типом облікових даних, а потім перевірте його як звичайний користувач, а не як ви самі.

Три шляхи доставки і що вирішує кожен

Перший шлях — керований профіль конфігурації, який доставляє система керування пристроями організації. Корисне навантаження VPN містить шлюз, метод автентифікації, маршрути й DNS і встановлюється через канал пристрою або користувача залежно від того, як зареєстровано Mac. Другий шлях — інсталятор для самостійного встановлення: користувач запускає схвалений пакет, який розміщує клієнт і створює підключення за нього. Це працює, коли реєстрації в керуванні немає, але організація все ще хоче відтворювану й придатну для перегляду конфігурацію. Третій шлях — користувач створює підключення вручну в Системних налаштуваннях, дотримуючись опублікованих значень. Це найдешевший старт і найдорожчий супровід, бо кожна помилка на боці клієнта стає дзвінком до служби підтримки, а кожна зміна — пам'яткою.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Прочитайте перший список, щоб побачити, які підключення існують і кому вони належать, а два інші — щоб побачити, що встановлено як політика. Профіль, якого немає в жодному списку, не надійшов, що б не казали користувачеві.

Вирішуйте за належністю пристрою, а не за посадою

Mac, що належить організації, зазвичай виправдовує перший шлях, бо той самий канал, який доставляє VPN, може його й видалити, а користувач не може тихо редагувати підключення. Виберіть канал пристрою, коли тунель має існувати до входу будь-якого користувача, і канал користувача, коли підключення належить людині. Особистий Mac із корпоративним сервісом зазвичай указує на другий шлях. Організація не може керувати пристроєм, тому інсталятор має бути малим, оборотним і достатньо задокументованим, щоб користувач міг його скасувати.

Третій шлях залишається розумним для кількох технічних користувачів зі стабільним налаштуванням і для тих, хто тестує шлюз перед розгортанням. Нижче цього масштабу він перетворюється на неперевірений набір набраних вручну налаштувань, який ніхто не може інвентаризувати.

Відокремте профіль від облікового запису

Локальний профіль підключення каже, як дістатися до шлюзу. Обліковий запис, авторизований на шлюзі, каже, чи може той, хто телефонує, увійти. Їх готують різні люди й відкликають з різних причин, тому ніколи не вважайте профіль авторизацією. Сертифікати стоять між ними. Сертифікат, поставлений разом із профілем, автентифікує пристрій або користувача, і його відкликання на шлюзі припиняє доступ, навіть якщо профіль залишається на диску. Схема лише з паролем спирається на життєвий цикл облікового запису, тому в записці про передачу має бути сказано, що саме діє.

Вирішіть також, чи клієнт є системним VPN, чи тунелем для окремих програм. Схема для окремих програм спрямовує лише вибрані програми й залежить від того, чи підтримує клієнт цю модель у використовуваній версії macOS, тому перевірте це на пілотній машині, а не припускайте, що налаштування перенесеться.

Передайте без пароля адміністратора

Користувачеві потрібно запустити підключення, увійти й відновитися після зміни пароля. Ніщо з цього не потребує облікового запису адміністратора й ніщо не виправдовує вбудовування облікових даних у скрипт, дію Automator або крок після встановлення підписаного пакета.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Перші дві команди — операції рівня користувача, якими служба підтримки може когось провести. Третя читає недавню активність тунелю, коли підключення не вдається, і це той артефакт, який треба запитувати замість знімка екрана з діалогом помилки.

Якщо якийсь крок досі вимагає схвалення адміністратора, це дефект доставки: поверніть точний запит власникові профілю, а не видавайте обліковий запис із більшими повноваженнями, ніж потрібно завданню.

Увійдіть як звичайний користувач і опишіть вихід

Увійдіть зі звичайним обліковим записом, підключіться, досягніть потрібного внутрішнього хоста, дайте Mac заснути, розбудіть його й підтвердьте повторне підключення. Повторіть після зміни пароля, бо саме там половина таких впроваджень справді відмовляє. Запишіть шлях відновлення до того, як він знадобиться першому користувачеві: що робити, коли профіль відсутній, коли сертифікат прострочено і коли шлюз відхиляє інакше правильний вхід. Тримайте ці три відповіді там, де служба підтримки зможе їх знайти.

Насамкінець сплануйте видалення. VPN, який неможливо видалити з Mac користувача, що йде за одну операцію, — це знахідка перевірки доступу, яка от-от станеться.