El Mac diu Cisco VPN: quin dels tres feu servir realment?

Algú us diu que el Cisco VPN està espatllat al seu Mac, i aquesta frase cobreix almenys tres objectes diferents. Pot significar un perfil integrat a macOS, una aplicació d’una època anterior o el client que la vostra organització desplega avui. Cadascun té els seus propis modes de fallada, i una correcció escrita per a un és normalment irrellevant per als altres dos.

Per tant, la primera feina no és una correcció. És identificació, i triga aproximadament un minut si pregunteu pels detalls correctes.

Una etiqueta nativa no és un controlador Cisco instal·lat

Apple inclou un tipus de VPN anomenat Cisco IPsec, i és útil, però és la implementació d’Apple d’una disposició IPsec, no l’antiga aplicació de tercers ni el que el vostre equip de seguretat desplega en altres llocs. L’etiqueta us diu quina finestra de configuració obrir i res sobre el suport del fabricant.

L’error invers costa més. Suposar que una entrada nativa pot substituir Secure Client omet el registre, la gestió de certificats, les comprovacions de postura i la política que espera la passarel·la. Un perfil enviat per l’organització no és equivalent a una connexió teclejada a mà, encara que tots dos acabin establint un túnel IPsec. Aquesta diferència és invisible a la finestra de configuració i òbvia als registres de la mateixa passarel·la.

Pregunteu al propietari de la passarel·la tres coses: el client de Mac que admet, el nom exacte del perfil i la versió mínima del client. Afegiu la versió de macOS que executa l’usuari. Un nom d’amfitrió de servidor per si sol no descriu res d’això, i per això els tiquets que només contenen un nom d’amfitrió solen tornar.

Els consells antics sobre el nucli pertanyen a la seva pròpia dècada

Els resultats de cerca sobre problemes de VPN al Mac són plens d’instruccions per mantenir tecles premudes durant l’arrencada, arrencar amb una arquitectura de nucli diferent o executar un auxiliar anterior a les proteccions actuals d’integritat del sistema. Aquests passos provenen de combinacions antigues concretes de maquinari Mac i compilacions del client. Repetir-los ara no és una migració, i en una versió actual alguns no es poden fer de cap manera.

Hi ha un límit relacionat que val la pena conèixer, perquè es cita en el context equivocat. Apple documenta que les aplicacions de 32 bits van deixar de ser compatibles amb macOS a partir de Catalina 10.15, així que un client tan antic simplement no hi pot funcionar, independentment dels controladors o els permisos. És un tall de compatibilitat d’aplicacions, no un problema de mode nucli, i barrejar les dues explicacions produeix consells que no ajuden ningú.

Si només queda disponible un client obsolet, tracteu el seu perfil com a material de migració sensible i demaneu el reemplaçament aprovat. No desactiveu les proteccions del sistema, no instal·leu un controlador sense signar ni canvieu el nom d’un fitxer amb l’extensió .pcf esperant que un client modern l’importi: un PCF pertany al format del client antic, Secure Client utilitza el seu propi mecanisme de perfils, i els dos no són intercanviables per extensió.

Separeu el client de la xarxa

Quan el client admès ja està instal·lat i funciona en general, la pregunta interessant canvia. Fall a tot arreu o només en una xarxa d’accés? Un client que es connecta des d’una connexió domèstica i falla en un hotel descriu abastabilitat, no arquitectura, i reinstal·lar l’aplicació no canviarà el filtratge de l’hotel. Proveu el mateix portàtil en una xarxa de confiança abans de tocar la instal·lació.

Captureu la fallada abans de canviar res. El registre del mateix client normalment indica la fase que ha fallat: selecció de perfil, autenticació, establiment del túnel o política. Compareu-ho amb un intent correcte des d’una altra xarxa al mateix equip, perquè la variable que proveu és la xarxa, i el client és la constant.

Anoteu la resposta per al proper tiquet

Quan sapigueu amb quin dels tres tracteu, anoteu-ho al tiquet amb la versió instal·lada i la versió de macOS. Aquesta única línia evita que el següent enginyer comenci de zero i fa possible una escalada al fabricant sense una segona ronda de preguntes.

Després comproveu l’única cosa que l’usuari necessita de veritat: si el client actual pot arribar al recurs, i no només si l’indicador del túnel s’ha posat verd. Pel que fa al límit de compatibilitat que surt contínuament en aquests fils, la nota d’Apple sobre el final del suport per a aplicacions de 32 bits amb macOS Catalina és la referència que val la pena citar en lloc del folklore.