El perfil VPN no s’importa al macOS: primer llegiu la càrrega útil

Quan un perfil s’instal·la net en un Mac i es rebutja en un altre, la xarxa encara no s’ha tocat, així que els certificats, les passarel·les i les contrasenyes no tenen cap culpa. L’instal·lador es va aturar en una càrrega útil que no volia acceptar, i normalment enregistra quina és. Això deixa el fitxer del perfil i tot allò que el va generar com els únics llocs raonables on treballar, i fa que esborrar la configuració del client sigui una manera de destruir proves en lloc d’una reparació.

Llegiu el perfil en lloc de reiniciar el Mac

Exporteu el .mobileconfig i mireu què porta realment abans de tocar el client:

plutil -p profile.mobileconfig | head -60

Un perfil VPN són en realitat dues càrregues útils amb feines diferents: com.apple.vpn.managed conté la connexió i com.apple.dnsSettings.managed conté la configuració del resolutor. La instal·lació s’atura a la primera càrrega útil que l’instal·lador rebutja, i el rebuig arriba al registre del sistema amb el nom d’aquesta càrrega, així que és el registre qui us diu quina secció obrir. Guardeu una còpia de l’últim perfil que sí que es va importar, perquè aquest fitxer és la base amb què es mesura la diferència.

Què hi va afegir el generador sense dir res

Apple Configurator 2.15, compilació 7A23, va emetre el bloc següent dins de la seva càrrega útil de DNS:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

Al macOS 12.1, els perfils escrits per aquella compilació es van rebutjar en importar-los. Una connexió feta amb el Configurator 2.11.1 hi va entrar sense cap queixa, perquè aquella versió no escrivia mai la clau. Traieu tot el diccionari de DNS o només la clau problemàtica, torneu-lo a desar i després repetiu-ho a la mateixa màquina abans de canviar res més. Aquesta sola modificació sol ser tota la reparació.

L’eina té un parany que val la pena conèixer abans de confiar-hi. Un cop esborrada la clau, desar la mateixa connexió no la va tornar a posar, i només va reaparèixer quan es va crear una connexió des de zero. Tracteu cada perfil acabat de generar com a sospitós i inspeccioneu-lo, sobretot quan s’ha fet tota una tanda de connexions de cop.

El camí MDM falla en un altre lloc

Un servei de gestió que empeny el mateix perfil pot fallar en un altre punt: el client es queixa que no s’ha creat cap servei VPN. En el cas notificat, una càrrega útil configurada per a l’autenticació amb certificat demanava igualment un camp de contrasenya; omplir-lo amb un valor de farciment va permetre aplicar el perfil, i res no va fer servir mai aquell valor per autenticar-se.

Si preneu aquest camí, guardeu una cadena falsa i mai una credencial real, i manteniu el secret autèntic fora del cos del perfil. Un perfil amb una contrasenya que funciona es converteix en un fitxer que cal protegir com una clau, i això és un problema molt més gran que la importació fallida amb què vau començar. Decidiu qui és el propietari d’aquest valor de farciment abans de distribuir el perfil, perquè ningú no el prengui després per un valor que val la pena renovar. Documentar per què existeix costa una línia i estalvia una discussió d’aquí a sis mesos.

Comproveu que el perfil ha arribat de veritat

Una importació correcta no és un servei que funciona, així que comproveu-ho en aquest ordre:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

La primera ordre llista les càrregues útils instal·lades; la segona diu si hi ha cap servei VPN. L’última, executada després de connectar, mostra el resolutor que el sistema farà servir realment. Llegiu-les en aquest ordre i atureu-vos on es trenca la cadena, perquè un servei absent fa que qualsevol pregunta sobre el resolutor no tingui sentit. Un perfil pot constar com a instal·lat i no posseir res d’utilitzable, i aquest és exactament l’estat que aquesta seqüència vol deixar al descobert.

Si el túnel s’aixeca mentre l’entrada del servei encara no té cap nom utilitzable, el camp del nom mostrat s’ha perdut a l’exportació, i la cura és un perfil regenerat i no pas un canvi de nom al client. Si el resolutor continua apuntant al local, la càrrega útil de DNS s’ha eliminat més a fons del que volíeu.

Desplegueu-ho per etapes, un Mac cada vegada

Instal·leu-ho en un Mac gestionat amb la mateixa compilació del sistema, i després comproveu tres coses per separat: el servei apareix, el resolutor canvia i una única petició interna real té èxit. Només després de les tres cal ampliar l’abast.

Són tres resultats diferents que fallen de tres maneres diferents, i això és el que fa que una màquina de prova valgui els deu minuts. Un perfil que s’importa no és un perfil que funciona, i la màquina de la primera etapa atura tots dos tipus de fallada abans que la resta del parc en vegi cap.