Mac казва Cisco VPN: кой от трите всъщност използвате?
Вграден IPsec запис, прекратеният Cisco VPN Client и Secure Client се наричат с едно и също име. Установете кой е собственикът, преди да прилагате стари поправки.
Някой ви казва, че Cisco VPN е повреден на неговия Mac, а тази фраза обхваща поне три различни неща. Тя може да означава профил, вграден в macOS, приложение от предишна епоха или клиента, който вашата организация разгръща днес. Всяко от тях има свои режими на отказ и поправка, написана за едното, обикновено е неуместна за другите две.
Значи първата задача не е поправка. Това е идентификация и отнема около минута, ако попитате за правилните подробности.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
Вграденият етикет не е инсталиран драйвер на Cisco
Apple доставя тип VPN с надпис Cisco IPsec и той е полезен, но това е реализация на IPsec от Apple, а не старото приложение на трета страна или онова, което екипът ви по сигурност разгръща другаде. Етикетът казва кой панел с настройки да отворите и нищо за поддръжката от доставчика.
Обратната грешка струва повече. Ако приемете, че вграден запис може да замени Secure Client, пропускате регистрацията, работата със сертификати, проверките на състоянието и политиката, която шлюзът очаква. Профил, изпратен от организацията, не е равностойен на връзка, въведена на ръка, дори когато и двете в крайна сметка установят IPsec тунел. Тази разлика е невидима в панела с настройки и очевидна в собствените журнали на шлюза.
Попитайте собственика на шлюза три неща: кой Mac клиент поддържа, точното име на профила и минималната версия на клиента. Добавете версията на macOS, която потребителят използва. Само име на сървър не описва нищо от това, затова тикетите само с име на хост често се връщат.
Старите съвети за ядрото принадлежат на своето десетилетие
Резултатите от търсене за проблеми с VPN на Mac са пълни с инструкции да задържате клавиши при стартиране, да заредите друга архитектура на ядрото или да стартирате помощник, който е по-стар от сегашните защити за цялост на системата. Тези стъпки идват от конкретни стари комбинации от хардуер на Mac и билдове на клиента. Повтарянето им сега не е миграция и на текуща версия някои от тях изобщо не могат да бъдат изпълнени.
Има свързана граница, която си струва да се знае, защото се цитира в грешен контекст. Apple документира, че 32-битовите приложения са престанали да бъдат съвместими с macOS, започвайки от Catalina 10.15, така че толкова стар клиент просто не може да работи там, независимо от драйвери или разрешения. Това е граница за съвместимост на приложения, а не проблем в режим на ядрото, и смесването на двете обяснения дава съвети, които не помагат на никого.
Ако остане достъпен само остарял клиент, третирайте профила му като чувствителен материал за миграция и поискайте одобрената замяна. Не изключвайте защитите на системата, не инсталирайте неподписан драйвер и не преименувайте файл с разширение .pcf с надеждата, че модерен клиент ще го импортира: PCF принадлежи на формата на стария клиент, Secure Client използва собствен механизъм за профили и двете не са взаимозаменяеми по разширение.
Отделете клиента от мрежата
Когато поддържаният клиент вече е инсталиран и като цяло работи, интересният въпрос се променя. Проваля ли се навсякъде или само в една мрежа за достъп? Клиент, който се свързва от домашна връзка и се проваля в хотел, описва достъпност, а не архитектура, и преинсталирането на приложението няма да промени филтрирането на хотела. Тествайте същия лаптоп в мрежа, на която вярвате, преди да пипате инсталацията.
Уловете отказа, преди да промените нещо. Собственият журнал на клиента обикновено посочва фазата, която се е провалила: избор на профил, удостоверяване, установяване на тунел или политика. Сравнете го с успешен опит от друга мрежа на същата машина, защото променливата, която тествате, е мрежата, а клиентът е константата.
Запишете отговора за следващия тикет
След като знаете с кой от трите имате работа, запишете го в тикета с инсталираната версия и издание на macOS. Този един ред спира следващия инженер да започне отначало и прави ескалация към доставчика възможна без втори кръг въпроси.
След това проверете единственото, от което потребителят наистина се нуждае: дали текущият клиент може да достигне ресурса, а не просто дали индикаторът на тунела е станал зелен. За границата на съвместимост, която постоянно се появява в тези теми, бележката на Apple за края на поддръжката на 32-битови приложения с macOS Catalina е източникът, който си струва да цитирате вместо фолклор.