Профіль VPN не імпартуецца ў macOS: спачатку прачытайце карысную нагрузку

Профіль, адхілены на адным Mac і прыняты на іншым, звычайна азначае праблему з нагрузкай. Паразнаходзьце XML, праверце, што дадаў генератар, затым праверце службу.

Калі профіль усталёўваецца на адным Mac без памылак, а на іншым адхіляецца, сетка яшчэ не дасягнута, таму сертыфікаты, шлюзы і паролі ні ў чым не вінаватыя. Усталёўнік спыніўся на нагрузцы, якую не прыняў, і звычайна запісвае, на якой менавіта. Такім чынам застаюцца файл профілю і ўсё, што яго стварыла, як адзіныя разумныя месцы для працы, а сціранне налад на кліенце становіцца спосабам знішчыць доказы, а не рамонтам.

Чытайце профіль замест таго, каб скідваць Mac

Экспартуйце .mobileconfig і паглядзіце, што ён насамрэч змяшчае, перш чым чапаць кліент:

plutil -p profile.mobileconfig | head -60

Профіль VPN — гэта насамрэч дзве нагрузкі з рознымі задачамі: com.apple.vpn.managed трымае злучэнне, а com.apple.dnsSettings.managed трымае канфігурацыю рэзалвера. Усталёўка спыняецца на першай нагрузцы, якую ўсталёўнік адхіляе, і адхіленне трапляе ў сістэмны журнал з назвай гэтай нагрузкі, таму менавіта журнал падказвае, які раздзел адкрываць. Захавайце копію апошняга профілю, які ўсё ж імпартаваўся, бо гэты файл — база, з якой параўноўваецца ваша розніца.

Што генератар ціха дадаў

Apple Configurator 2.15 зборкі 7A23 выдаў наступны блок унутры сваёй нагрузкі DNS:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

На macOS 12.1 профілі, запісаныя гэтай зборкай, адхіляліся пры імпарце. Злучэнне, створанае ў Configurator 2.11.1, прайшло без скаргаў, бо тая версія наогул не запісвала ключ. Выдаліце ўвесь слоўнік DNS або толькі праблемны ключ, захавайце зноў, а затым паўтарыце спробу на той самай машыне, перш чым мяняць што-небудзь яшчэ. Звычайна гэта адно выпраўленне і ёсць увесь рамонт.

У інструмента ёсць пастка, пра якую варта ведаць, перш чым яму давяраць. Пасля выдалення ключа захаванне таго ж злучэння не вярнула яго, і ён з'явіўся зноў толькі тады, калі злучэнне стварылі з нуля. Стаўцеся да кожнага свежага профілю як да падазронага і правярайце яго, асабліва калі цэлы наблок злучэнняў быў зроблены за адзін сеанс.

Шлях праз MDM зрываецца ў іншым месцы

Служба кіравання, якая штурхае той самы профіль, можа зламацца ў іншым месцы: кліент скардзіцца, што служба VPN наогул не створана. У паведамленым выпадку нагрузка была наладжана на аўтэнтыфікацыю па сертыфікаце, але ўсё ж патрабавала поле пароля; запаўненне яго замяшчальнікам дазволіла ўжыць профіль, і нішто ніколі не выкарыстала гэтае значэнне для аўтэнтыфікацыі.

Калі вы пойдзеце гэтым шляхам, захавайце пусты радок-замяшчальнік і ніколі не захоўвайце сапраўдныя дадзеныя, а сапраўдны сакрэт трымайце па-за целам профілю. Профіль з працоўным паролем робіцца файлам, які трэба ахоўваць як ключ, і гэта значна большая праблема, чым няўдалы імпарт, з якога вы пачалі. Вызначце, каму належыць гэты замяшчальнік, перш чым профіль будзе размеркаваны, каб потым ніхто не ўспрыняў яго як значэнне, вартае ротацыі. Апісанне таго, чаму ён існуе, займае адзін радок і зберагае спрэчку праз паўгода.

Пераканайцеся, што профіль сапраўды ўсталяваўся

Паспяховы імпарт — не працоўная служба, таму правярайце ў такім парадку:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Першая каманда пералічвае ўсталяваныя нагрузкі; другая кажа, ці існуе служба VPN наогул. Апошняя, запушчаная пасля падключэння, паказвае рэзалвер, які сістэма сапраўды будзе выкарыстоўваць. Чытайце іх у гэтым парадку і спыняйцеся там, дзе ланцуг рвецца, бо адсутнасць службы робіць любое пытанне пра рэзалвер бессэнсоўным. Профіль можа значыцца ўсталяваным і пры гэтым не мець нічога прыдатнага, і гэта менавіта той стан, які гэтая паслядоўнасць прызначана выкрыць.

Калі тунель падымаецца, а запіс службы ўсё яшчэ без прыдатнай назвы, значыць поле адлюстраванай назвы згубілася пры экспарце, і лек — пераствораны профіль, а не перайменаванне на кліенце. Калі рэзалвер па-ранейшаму ўказвае на лакальны, нагрузка DNS выдалена больш грунтоўна, чым вы хацелі.

Разгортвайце паэтапна, па адным Mac

Усталюйце на адным кіраваным Mac з той самай зборкай АС, а затым праверце тры рэчы асобна: служба з'явілася, рэзалвер змяніўся і адзін сапраўдны ўнутраны запыт прайшоў. Толькі пасля ўсіх трох варта пашыраць ахоп.

Гэта тры розныя вынікі, якія зрываюцца трыма рознымі спосабамі, і менавіта таму адна тэставая машына вартая тых дзесяці хвілін. Профіль, які імпартуецца, — не профіль, які працуе, і машына першага этапу ловіць абодва тыпы збою, перш чым рэшта парка ўбачыць хоць адзін.

Падобныя артыкулы