Mac hlásí Cisco VPN: kterou ze tří vůbec používáte?

Někdo vám řekne, že má na Macu rozbitou Cisco VPN, a tento výraz pokrývá nejméně tři různé objekty. Může znamenat profil zabudovaný v macOS, aplikaci z dřívější éry nebo klienta, kterého vaše organizace nasazuje dnes. Každý má své vlastní režimy selhání a oprava napsaná pro jeden je obvykle pro ostatní dva irelevantní.

První úkol tedy není oprava. Je to identifikace a zabere asi minutu, pokud se zeptáte na správné podrobnosti.

Nativní označení není nainstalovaný ovladač Cisco

Apple dodává typ VPN označený Cisco IPsec a je užitečný, ale je to Apple implementace uspořádání IPsec, nikoli stará aplikace třetí strany ani to, co váš bezpečnostní tým nasazuje jinde. Označení vám řekne, který panel nastavení otevřít, a nic o podpoře výrobce.

Opačná chyba stojí víc. Předpokládat, že nativní položka může nahradit Secure Client, přeskakuje registraci, práci s certifikáty, kontroly stavu a zásady, které brána očekává. Profil odeslaný organizací není rovnocenný připojení ručně napsanému, i když oba nakonec vytvoří tunel IPsec. Tento rozdíl je v panelu nastavení neviditelný a v protokolech samotné brány zřejmý.

Zeptejte se vlastníka brány na tři věci: který Mac klient je podporován, přesný název profilu a minimální verzi klienta. Přidejte verzi macOS, kterou uživatel používá. Samotné jméno hostitele serveru nic z toho nepopisuje, a proto tikety obsahující jen jméno hostitele často vracejí.

Staré rady o jádru patří do své vlastní dekády

Výsledky hledání problémů s VPN na Macu jsou plné návodů držet při spouštění klávesy, zavést jinou architekturu jádra nebo spustit pomocník, který je starší než současné ochrany integrity systému. Tyto kroky pocházejí z konkrétních starých kombinací hardwaru Mac a sestavení klienta. Opakovat je nyní není migrace a na současné verzi některé z nich vůbec nelze provést.

Existuje související hranice, kterou stojí za to znát, protože se cituje ve špatném kontextu. Apple dokumentuje, že 32bitové aplikace přestaly být kompatibilní s macOS počínaje Catalina 10.15, takže tak starý klient tam prostě nemůže běžet bez ohledu na ovladače nebo oprávnění. To je hranice kompatibility aplikací, ne problém režimu jádra, a míchání obou vysvětlení vytváří rady, které nikomu nepomohou.

Pokud zůstane dostupný jen zastaralý klient, považujte jeho profil za citlivý migrační materiál a požádejte o schválenou náhradu. Nevypínejte ochrany systému, neinstalujte nepodepsaný ovladač a nepřejmenovávejte soubor s příponou .pcf v naději, že jej moderní klient naimportuje: PCF patří k formátu starého klienta, Secure Client používá vlastní mechanismus profilů a oba nejsou podle přípony zaměnitelné.

Oddělte klienta od sítě

Když je podporovaný klient již nainstalován a většinou funguje, zajímavá otázka se mění. Selhává všude, nebo jen v jedné přístupové síti? Klient, který se připojí z domácího připojení a v hotelu selže, popisuje dostupnost, ne architekturu, a přeinstalace aplikace nezmění filtrování hotelu. Otestujte stejný notebook v síti, které důvěřujete, než se dotknete instalace.

Zachyťte selhání dřív, než cokoli změníte. Vlastní protokol klienta obvykle pojmenuje fázi, která selhala: výběr profilu, autentizace, navázání tunelu nebo zásady. Porovnejte to s úspěšným pokusem z jiné sítě na stejném stroji, protože proměnná, kterou testujete, je síť a klient je konstanta.

Zapište odpověď pro další tiket

Jakmile víte, se kterým ze tří máte co do činění, zapište to do tiketu spolu s nainstalovanou verzí a vydáním macOS. Ten jediný řádek zabrání dalšímu inženýrovi začít znovu a umožní eskalaci k výrobci bez druhého kola otázek.

Potom ověřte jedinou věc, kterou uživatel skutečně potřebuje: zda se současný klient dostane ke zdroji, a ne jen zda indikátor tunelu zezelenal. Pro hranici kompatibility, která se v těchto vláknech stále objevuje, je Apple poznámka o konci podpory 32bitových aplikací s macOS Catalina odkazem, který stojí za to citovat místo folklóru.