VPN профил не се импортира в macOS: първо прочетете полезния товар

Профил, отхвърлен на един Mac и приет на друг, обикновено означава проблем с полезния товар. Сравнете XML, проверете какво е добавил генераторът, после проверете услугата.

Когато профил се инсталира чисто на един Mac и бъде отказан на друг, мрежата още не е достигната, така че сертификатите, шлюзовете и паролите не заслужават вина. Инсталаторът е спрял на товар, който не е приел, и обикновено записва кой е той. Така остават файлът на профила и всичко, което го е създало, като единствените разумни места за работа, а изтриването на настройки на клиента става начин да унищожите доказателства, а не ремонт.

Прочетете профила, вместо да нулирате Mac

Експортирайте .mobileconfig и вижте какво всъщност съдържа, преди да пипате клиента:

plutil -p profile.mobileconfig | head -60

Профилът за VPN всъщност е два товара с различни задачи: com.apple.vpn.managed държи връзката, а com.apple.dnsSettings.managed държи конфигурацията на резолвера. Инсталацията спира на първия товар, който инсталаторът отхвърли, а отхвърлянето попада в системния журнал с името на този товар, така че журналът е този, който ви казва кой раздел да отворите. Пазете копие от последния профил, който все пак се импортира, защото този файл е базата, спрямо която се мери разликата.

Какво генераторът добави тихо

Apple Configurator 2.15, билд 7A23, изведе следния блок вътре в своя товар за DNS:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

На macOS 12.1 профилите, записани от този билд, бяха отхвърлени при импорт. Връзка, направена с Configurator 2.11.1, мина без оплакване, защото тази версия изобщо не записваше ключа. Премахнете целия речник за DNS или само проблемния ключ, запазете отново и след това опитайте на същата машина, преди да промените нещо друго. Обикновено тази една промяна е целият ремонт.

Инструментът има капан, който си струва да знаете, преди да му се доверите. След като ключът беше изтрит, запазването на същата връзка не го върна и той се появи отново само когато връзката беше създадена от нулата. Отнасяйте се към всеки новогенериран профил като към подозрителен и го проверявайте, особено когато цяла партида връзки е направена наведнъж.

Пътят през MDM се проваля на друго място

Услуга за управление, която изпраща същия профил, може да се провали на друго място: клиентът се оплаква, че изобщо не е създадена VPN услуга. В съобщения случай товарът беше настроен за удостоверяване със сертификат, но въпреки това изискваше поле за парола; попълването му със заместител позволи профилът да се приложи и нищо никога не използва тази стойност за удостоверяване.

Ако поемете по този път, съхранявайте фиктивен низ и никога истински тайни, и дръжте реалната тайна извън тялото на профила. Профил с работеща парола се превръща във файл, който трябва да се пази като ключ, а това е значително по-голям проблем от неуспешния импорт, с който сте започнали. Решете кой отговаря за този заместител, преди профилът да бъде разпространен, за да не го вземе някой по-късно за стойност, която си струва смяна. Документирането защо съществува отнема един ред и спестява спор след шест месеца.

Потвърдете, че профилът наистина е пристигнал

Успешният импорт не е работеща услуга, затова проверявайте в този ред:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Първата команда изброява инсталираните товари; втората казва дали изобщо съществува VPN услуга. Последната, пусната след свързване, показва резолвера, който системата наистина ще използва. Четете ги в този ред и спрете там, където веригата се къса, защото липсващата услуга прави всеки въпрос за резолвера безсмислен. Един профил може да е отбелязан като инсталиран и все пак да не притежава нищо използваемо, а точно това състояние тази последователност е създадена да разкрие.

Ако тунелът се вдигне, докато записът за услугата все още няма използваемо име, полето за показвано име е загубено при експорта и лечението е прегенериран профил, а не преименуване на клиента. Ако резолверът продължава да сочи към локалния, товарът за DNS е премахнат по-основно, отколкото сте искали.

Въвеждайте поетапно, по един Mac

Инсталирайте на един управляван Mac с същия билд на ОС, после проверете три неща поотделно: услугата се появява, резолверът се сменя и една истинска вътрешна заявка минава. Едва след като и трите са налице, обхватът може да се разшири.

Това са три различни резултата, които се провалят по три различни начина, и точно затова една тестова машина си струва десетте минути. Профил, който се импортира, не е профил, който работи, а машината от първия етап хваща и двата вида провал, преди останалата част от парка да види който и да е от тях.

Подобни статии