Mac кажа Cisco VPN: які з трох у вас насамрэч працуе?
Убудаваны запіс IPsec, зняты з падтрымкі Cisco VPN Client і Secure Client — усё гэта называюць адным і тым жа. Вызначце ўладальніка, перш чым ужываць старыя выпраўленні.
Нехта кажа вам, што Cisco VPN на яго Mac зламаны, і гэтая фраза ахоплівае як мінімум тры розныя аб’екты. Яна можа азначаць профіль, убудаваны ў macOS, праграму з папярэдняй эпохі або кліент, які ваша арганізацыя разгортвае сёння. Кожны мае свае тыпы збояў, і выпраўленне, напісанае для аднаго, звычайна не датычыцца двух іншых.
Такім чынам, першая задача — не выпраўленне. Гэта ідэнтыфікацыя, і яна займае каля хвіліны, калі спытаць пра правільныя дэталі.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
Убудаваная назва — не ўсталяваны драйвер Cisco
Apple пастаўляе тып VPN пад назвай Cisco IPsec, і ён карысны, але гэта рэалізацыя IPsec ад Apple, а не старая старонняя праграма і не тое, што ваша каманда бяспекі разгортвае ў іншым месцы. Назва падказвае, якую панэль налад адкрыць, і нічога не кажа пра падтрымку вытворцы.
Зваротная памылка каштуе даражэй. Калі меркаваць, што ўбудаваны запіс можа замяніць Secure Client, прапускаюцца рэгістрацыя, праца з сертыфікатамі, праверкі стану і палітыка, якую чакае шлюз. Профіль, разасланы арганізацыяй, не раўназначны злучэнню, якое нехта набраў уручную, нават калі абодва ўрэшце ўсталёўваюць тунель IPsec. Гэтая розніца нябачная на панэлі налад і відавочная ў журналах самога шлюза.
Спытайце ўладальніка шлюза пра тры рэчы: кліент для Mac, які ён падтрымлівае, дакладную назву профілю і мінімальную версію кліента. Дадайце версію macOS, якую выкарыстоўвае карыстальнік. Адно імя хаста сервера не апісвае нічога з гэтага, таму заяўкі, якія змяшчаюць толькі імя хаста, часта вяртаюцца.
Старыя парады пра ядро належаць свайму дзесяцігоддзю
Вынікі пошуку па праблемах VPN на Mac поўныя інструкцый трымаць клавішы падчас запуску, загружацца ў іншую архітэктуру ядра або запускаць памочнік, які старэйшы за цяперашнія сродкі абароны цэласнасці сістэмы. Гэтыя крокі паходзяць з пэўных старых спалучэнняў абсталявання Mac і зборак кліента. Паўтараць іх зараз — не міграцыя, і на бягучай версіі некаторыя з іх немагчыма выканаць зусім.
Ёсць памежная ўмова, пра якую варта ведаць, бо яе цытуюць у няправільным кантэксце. Apple дакументуе, што 32-бітныя праграмы перасталі быць сумяшчальнымі з macOS пачынаючы з Catalina 10.15, таму такі стары кліент проста не можа там працаваць незалежна ад драйвераў ці дазволаў. Гэта мяжа сумяшчальнасці праграм, а не праблема рэжыму ядра, і змешванне двух тлумачэнняў дае парады, якія нікому не дапамагаюць.
Калі даступны толькі састарэлы кліент, стаўцеся да яго профілю як да адчувальнага матэрыялу міграцыі і запытайце зацверджаную замену. Не адключайце сродкі абароны сістэмы, не ўсталёўвайце драйвер без подпісу і не пераназывайце файл з пашырэннем .pcf у надзеі, што сучасны кліент яго імпартуе: PCF належыць да фармату старога кліента, Secure Client выкарыстоўвае ўласны механізм профіляў, і гэтыя два не ўзаемазаменныя па пашырэнні.
Аддзяліце кліент ад сеткі
Калі падтрымліваемы кліент ужо ўсталяваны і пераважна працуе, цікавае пытанне змяняецца. Ён збоіць усюды ці толькі ў адной сетцы доступу? Кліент, які падключаецца з хатняга злучэння і збоіць у гатэлі, апісвае дасяжнасць, а не архітэктуру, і пераўсталёўка праграмы не зменіць фільтраванне гатэля. Праверце той жа ноўтбук у сетцы, якой давяраеце, перш чым кранаць усталяванне.
Зафіксуйце збой, перш чым нешта змяняць. Уласны журнал кліента звычайна называе этап, які не ўдаўся: выбар профілю, аўтэнтыфікацыя, усталяванне тунеля або палітыка. Параўнайце гэта з удалай спробай з іншай сеткі на той жа машыне, бо зменная, якую вы правяраеце, — гэта сетка, а кліент — канстанта.
Запішыце адказ для наступнай заяўкі
Калі вы ведаеце, з якім з трох маеце справу, зафіксуйце гэта ў заяўцы разам з усталяванай версіяй і выпускам macOS. Гэты адзін радок не дазваляе наступнаму інжынеру пачаць спачатку і робіць магчымым эскалацыю да вытворцы без другога кола пытанняў.
Затым праверце адзінае, што карыстальніку сапраўды патрэбна: ці можа бягучы кліент дасягнуць рэсурсу, а не проста ці стаў індыкатар тунеля зялёным. Для мяжы сумяшчальнасці, якая ўвесь час узнікае ў гэтых абмеркаваннях, заўвага Apple пра спыненне падтрымкі 32-бітных праграм разам з macOS Catalina — гэта крыніца, на якую варта спасылацца замест народных паданняў.