Người dùng Mac tiêu chuẩn với VPN được quản lý: IT phải đảm nhận những gì

Tài khoản macOS tiêu chuẩn có thể chạy VPN doanh nghiệp cả ngày trong khi IT giữ mọi thao tác đặc quyền. Đạt được điều đó là một quyết định bàn giao, không phải tranh luận về quyền: chọn ai cài ứng dụng khách, ai viết kết nối và người dùng được phép thay đổi điều gì. Ba con đường bao quát gần như mọi trường hợp, và mỗi con đường thất bại theo cách khác nhau. Chọn con đường dựa trên quyền sở hữu thiết bị và loại thông tin xác thực, rồi thử nó với tư cách người dùng tiêu chuẩn thay vì chính bạn.

Ba con đường bàn giao và mỗi con đường quyết định điều gì

Con đường thứ nhất là hồ sơ cấu hình được quản lý do hệ thống quản lý thiết bị của tổ chức cung cấp. Tải trọng VPN mang theo cổng, phương thức xác thực, tuyến và DNS, và được cài qua kênh thiết bị hoặc người dùng tùy theo cách Mac được đăng ký. Con đường thứ hai là trình cài đặt tự phục vụ: người dùng chạy một gói đã được phê duyệt để đặt ứng dụng khách và viết kết nối thay họ. Cách này hoạt động khi không có đăng ký quản lý nhưng tổ chức vẫn muốn một cấu hình có thể lặp lại và xem xét được. Con đường thứ ba là người dùng tự tạo kết nối trong Cài đặt Hệ thống theo các giá trị đã công bố. Đây là cách rẻ nhất để bắt đầu và đắt nhất để hỗ trợ, vì mọi sai sót phía ứng dụng khách đều thành cuộc gọi đến bộ phận trợ giúp và mọi thay đổi thành một ghi chú.

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

Đọc danh sách đầu tiên để xem những kết nối nào tồn tại và ai sở hữu chúng, và hai danh sách còn lại để xem những gì đã được cài như chính sách. Một hồ sơ không xuất hiện trong danh sách nào là chưa đến, bất kể người dùng được nói gì.

Quyết định theo quyền sở hữu thiết bị, không theo thâm niên

Một Mac thuộc sở hữu của tổ chức thường biện minh cho con đường thứ nhất, vì cùng kênh cung cấp VPN cũng có thể gỡ nó, và người dùng không thể lặng lẽ sửa kết nối. Chọn kênh thiết bị khi đường hầm phải tồn tại trước khi bất kỳ người dùng nào đăng nhập, và kênh người dùng khi kết nối thuộc về cá nhân. Một Mac sở hữu cá nhân với dịch vụ doanh nghiệp thường trỏ đến con đường thứ hai. Tổ chức không thể quản lý thiết bị, nên trình cài đặt phải nhỏ, có thể hoàn tác và được ghi chép đủ để người dùng có thể hủy nó.

Con đường thứ ba vẫn hợp lý cho một số ít người dùng kỹ thuật có thiết lập ổn định, và cho bất kỳ ai kiểm thử cổng trước khi triển khai. Dưới quy mô đó, nó trở thành một tập hợp các thiết lập gõ tay không được kiểm toán mà không ai có thể kiểm kê.

Tách hồ sơ khỏi tài khoản

Hồ sơ kết nối cục bộ cho biết cách đến cổng. Một tài khoản được ủy quyền tại cổng cho biết người gọi có được vào hay không. Chúng do những người khác nhau cung cấp và bị thu hồi vì lý do khác nhau, nên đừng bao giờ coi hồ sơ là sự ủy quyền. Chứng chỉ nằm ở giữa. Một chứng chỉ được bàn giao cùng hồ sơ xác thực thiết bị hoặc người dùng, và việc thu hồi nó tại cổng chấm dứt quyền truy cập kể cả khi hồ sơ vẫn còn trên đĩa. Một thiết kế chỉ dùng mật khẩu dựa vào vòng đời tài khoản thay vào đó, nên ghi chú bàn giao phải nói rõ cái nào trong hai đang có hiệu lực.

Cũng cần quyết định ứng dụng khách là VPN hệ thống hay đường hầm theo từng ứng dụng. Thiết kế theo từng ứng dụng chỉ định tuyến các ứng dụng được chọn, và nó phụ thuộc vào việc ứng dụng khách có hỗ trợ mô hình đó trên phiên bản macOS đang dùng hay không, nên hãy xác minh trên một máy thử nghiệm thay vì cho rằng thiết lập sẽ đi theo.

Bàn giao mà không cần mật khẩu quản trị

Người dùng cần khởi động kết nối, đăng nhập và phục hồi sau khi đổi mật khẩu. Không điều nào trong số đó cần tài khoản quản trị, và không điều nào biện minh cho việc nhúng thông tin xác thực vào một tập lệnh, một hành động Automator hay một bước sau khi cài gói đã ký.

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

Hai lệnh đầu là các thao tác ở cấp người dùng mà bộ phận trợ giúp có thể hướng dẫn ai đó thực hiện. Lệnh thứ ba đọc hoạt động đường hầm gần đây khi kết nối thất bại, và đó là thứ cần yêu cầu thay vì ảnh chụp màn hình hộp thoại lỗi.

Nếu một bước vẫn yêu cầu phê duyệt của quản trị viên, đó là khiếm khuyết bàn giao: hãy gửi lại lời nhắc chính xác cho chủ sở hữu hồ sơ thay vì cấp một tài khoản có nhiều quyền hơn mức công việc cần.

Đăng nhập với tư cách người dùng tiêu chuẩn, rồi viết lối ra

Đăng nhập bằng tài khoản tiêu chuẩn, kết nối, đến máy chủ nội bộ dự kiến, để Mac ngủ, đánh thức và xác nhận kết nối lại. Lặp lại sau khi đổi mật khẩu, vì đó chính là nơi một nửa các đợt triển khai này thực sự thất bại. Viết ra đường phục hồi trước khi người dùng đầu tiên cần đến: phải làm gì khi thiếu hồ sơ, khi chứng chỉ hết hạn và khi cổng từ chối một lần đăng nhập vốn hợp lệ. Giữ ba câu trả lời đó ở nơi bộ phận trợ giúp có thể tìm thấy.

Cuối cùng, hãy lên kế hoạch gỡ bỏ. Một VPN không thể bị gỡ khỏi Mac của người dùng rời đi trong một thao tác là một phát hiện đánh giá quyền truy cập sắp xảy ra.