Profil VPN se v macOS neimportuje: nejprve si přečtěte payload

Profil, který se na jednom Macu odmítne a na jiném přijme, bývá problém s payloadem. Porovnejte XML, zkontrolujte, co přidal generátor, a potom ověřte službu.

Když se profil na jednom Macu nainstaluje bez potíží a na jiném je odmítnut, síť ještě nebyla vůbec dosažena, takže certifikáty, brány ani hesla za to nemohou. Instalátor se zastavil na payloadu, který nechtěl přijmout, a obvykle zaznamená, o který šlo. Tím zůstávají soubor profilu a vše, co ho vytvořilo, jako jediná rozumná místa pro práci, a smazání nastavení na klientovi se stává cestou ke zničení důkazů, nikoli opravou.

Přečtěte si profil, místo abyste Mac resetovali

Exportujte .mobileconfig a podívejte se, co skutečně nese, než se klienta dotknete:

plutil -p profile.mobileconfig | head -60

Profil VPN jsou ve skutečnosti dva payloady s různými úkoly: com.apple.vpn.managed drží spojení a com.apple.dnsSettings.managed drží konfiguraci resolveru. Instalace se zastaví u prvního payloadu, který instalátor odmítne, a odmítnutí se zapíše do systémového protokolu s názvem toho payloadu, takže právě protokol vám řekne, kterou část otevřít. Uchovejte kopii posledního profilu, který se ještě importoval, protože ten soubor je základem, vůči němuž se měří rozdíl.

Co generátor tiše přidal

Apple Configurator 2.15, sestavení 7A23, vygeneroval následující blok uvnitř svého DNS payloadu:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

V macOS 12.1 byly profily zapsané tímto sestavením při importu odmítnuty. Spojení vytvořené v Configuratoru 2.11.1 prošlo bez stížnosti, protože toto vydání klíč vůbec nezapisovalo. Odstraňte celý slovník DNS, nebo jen problematický klíč, znovu uložte a potom to zkuste na stejném stroji, než změníte cokoli dalšího. Obvykle je tato jediná úprava celou opravou.

Nástroj má past, kterou se vyplatí znát, než mu začnete věřit. Poté co byl klíč smazán, uložení stejného spojení ho nevrátilo a znovu se objevil jen tehdy, když se spojení vytvořilo od nuly. Každý čerstvě vygenerovaný profil považujte za podezřelý a prohlédněte ho, zvláště když byla celá dávka spojení vytvořena najednou.

Cesta přes MDM selhává jinde

Služba správy, která tlačí stejný profil, může selhat na jiném místě: klient si stěžuje, že nevznikla vůbec žádná služba VPN. V hlášeném případě měl payload nastavené ověřování certifikátem, a přesto vyžadoval pole pro heslo; vyplnění zástupnou hodnotou umožnilo profil použít a nic tu hodnotu nikdy k ověření nepoužilo.

Pokud se touto cestou vydáte, uložte falešný řetězec a nikdy skutečné přihlašovací údaje, a pravý tajný klíč držte mimo tělo profilu. Profil s funkčním heslem se stává souborem, který je třeba chránit jako klíč, což je podstatně větší problém než neúspěšný import, se kterým jste začali. Rozhodněte, komu ta zástupná hodnota patří, než se profil začne distribuovat, aby ji později nikdo nepovažoval za hodnotu hodnou rotace. Zdokumentovat, proč existuje, zabere jeden řádek a ušetří hádku za půl roku.

Ověřte, že profil skutečně přistál

Úspěšný import není fungující služba, takže kontrolujte v tomto pořadí:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

První příkaz vypíše nainstalované payloady; druhý říká, zda vůbec existuje služba VPN. Poslední, spuštěný po připojení, ukazuje resolver, který systém skutečně použije. Čtěte je v tomto pořadí a zastavte se tam, kde se řetěz přetrhne, protože chybějící služba činí jakoukoli otázku na resolver bezvýznamnou. Profil může být uveden jako nainstalovaný a přesto nevlastnit nic použitelného, a to je přesně stav, který má tato posloupnost odhalit.

Pokud se tunel zvedne, zatímco záznam služby stále nemá použitelné jméno, pole zobrazovaného jména se při exportu ztratilo a lékem je regenerovaný profil, nikoli přejmenování na klientovi. Pokud resolver dál ukazuje na lokální, byl DNS payload odstraněn důkladněji, než jste zamýšleli.

Zavádějte po etapách, jeden Mac po druhém

Nainstalujte to na jednom spravovaném Macu se stejným sestavením OS, potom ověřte tři věci odděleně: služba se objeví, resolver se změní a jeden skutečný interní požadavek uspěje. Rozsah se smí rozšířit až po všech třech.

To jsou tři různé výsledky, které selhávají třemi různými způsoby, a právě proto má jeden testovací stroj cenu těch deseti minut. Profil, který se importuje, není profil, který funguje, a stroj první etapy zachytí oba druhy selhání dřív, než zbytek flotily uvidí kterýkoli z nich.

Související články