Ni fydd proffil VPN yn mewnforio ar macOS: darllenwch y llwyth tâl yn gyntaf

Pan fydd proffil yn gosod yn lân ar un Mac ac yn cael ei wrthod ar un arall, nid yw’r rhwydwaith wedi’i gyrraedd eto, felly nid oes bai i’w roi ar dystysgrifau, pyrth na chyfrineiriau. Stopiodd y gosodwr ar lwyth tâl na fyddai’n ei dderbyn, ac fel arfer mae’n cofnodi pa un. Mae hynny’n gadael ffeil y proffil a’r popeth a’i creodd fel yr unig leoedd synhwyrol i weithio ynddynt, ac mae’n gwneud dileu gosodiadau ar y cleient yn ffordd o ddinistrio tystiolaeth yn hytrach nag yn atgyweiriad.

Darllenwch y proffil yn lle ailosod y Mac

Allforiwch y .mobileconfig ac edrychwch beth mae’n ei gario mewn gwirionedd cyn cyffwrdd â’r cleient:

plutil -p profile.mobileconfig | head -60

Dau lwyth tâl â gwahanol waith yw proffil VPN mewn gwirionedd: mae com.apple.vpn.managed yn dal y cysylltiad, ac mae com.apple.dnsSettings.managed yn dal ffurfwedd y datryswr. Mae’r gosodiad yn stopio ar y llwyth tâl cyntaf y bydd y gosodwr yn ei wrthod, ac mae’r gwrthodiad yn mynd i log y system gyda’r llwyth tâl hwnnw wedi’i enwi, felly’r log sy’n dweud wrthych pa adran i’w hagor. Cadwch gopi o’r proffil olaf a lwyddodd i fewnforio, oherwydd y ffeil honno yw’r sylfaen y mesurir eich gwahaniaeth yn ei herbyn.

Beth ychwanegodd y generadur yn dawel

Cyhoeddodd Apple Configurator 2.15, adeiladwaith 7A23, y bloc canlynol y tu mewn i’w lwyth tâl DNS:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

Ar macOS 12.1, gwrthodwyd proffiliau a ysgrifennwyd gan yr adeiladwaith hwnnw wrth fewnforio. Aeth cysylltiad a wnaed gyda Configurator 2.11.1 i mewn heb gwyn, gan nad oedd y rhyddhad hwnnw byth yn ysgrifennu’r allwedd o gwbl. Tynnwch y geiriadur DNS cyfan neu dim ond yr allwedd dramgwyddus, ei gadw eto, yna ceisio eto ar yr un peiriant cyn newid unrhyw beth arall. Yr un golygiad hwnnw yw’r atgyweiriad cyfan fel arfer.

Mae gan yr offeryn fagl sy’n werth ei gwybod cyn i chi ymddiried ynddo. Unwaith i’r allwedd gael ei dileu, ni wnaeth cadw’r un cysylltiad ei roi yn ôl, ac ni ddaeth i’r golwg eto nes i gysylltiad gael ei greu o’r newydd. Triniwch bob proffil sydd newydd ei gynhyrchu fel un amheus a’i archwilio, yn enwedig pan wnaed swp cyfan o gysylltiadau mewn un eisteddiad.

Mae llwybr MDM yn methu yn rhywle arall

Gall gwasanaeth rheoli sy’n gwthio’r un proffil fethu mewn man gwahanol: mae’r cleient yn cwyno na chrewyd unrhyw wasanaeth VPN o gwbl. Yn yr achos a adroddwyd, roedd llwyth tâl wedi’i ffurfweddu ar gyfer dilysu tystysgrif ac eto’n mynnu maes cyfrinair; caniataodd ei lenwi ag enw lle i’r proffil gael ei gymhwyso, ac ni ddefnyddiodd unrhyw beth y gwerth hwnnw i ddilysu.

Os ewch y llwybr hwnnw, storiwch linyn gwag a byth galluoedd dilysu byw, a chadwch y gwir gyfrinach allan o gorff y proffil. Mae proffil sy’n cario cyfrinair gweithredol yn dod yn ffeil y mae’n rhaid ei diogelu fel allwedd, ac mae hynny’n broblem lawer mwy na’r mewnforiad methiedig y gwnaethoch ddechrau ag ef. Penderfynwch pwy sy’n berchen ar yr enw lle hwnnw cyn i’r proffil gael ei ddosbarthu, rhag i rywun yn ddiweddarach ei gamgymryd am werth sy’n werth ei gylchdroi. Mae dogfennu pam y mae’n bodoli yn cymryd un llinell ac yn arbed dadl ymhen chwe mis.

Cadarnhewch fod y proffil wedi glanio mewn gwirionedd

Nid yw mewnforiad llwyddiannus yn wasanaeth gweithredol, felly gwiriwch yn y drefn hon:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Mae’r gorchymyn cyntaf yn rhestru’r llwythi tâl sydd wedi’u gosod; mae’r ail yn dweud a oes gwasanaeth VPN o gwbl. Mae’r olaf, a redir ar ôl cysylltu, yn dangos y datryswr y bydd y system yn ei ddefnyddio mewn gwirionedd. Darllenwch nhw yn y drefn honno a stopiwch lle mae’r gadwyn yn torri, oherwydd mae gwasanaeth ar goll yn gwneud unrhyw gwestiwn am y datryswr yn ddiystyr. Gall proffil gael ei restru fel un wedi’i osod ac eto fod heb unrhyw beth defnyddiadwy, a dyna’n union y cyflwr y mae’r dilyniant hwn wedi’i gynllunio i’w ddatgelu.

Os daw’r twnnel i fyny tra bo cofnod gwasanaeth yn dal heb enw defnyddiadwy, collwyd y maes enw arddangos yn yr allforiad, a’r gwellhad yw proffil wedi’i ailddwyn yn hytrach nag ailenwi ar y cleient. Os yw’r datryswr yn parhau i bwyntio at yr un lleol, mae’r llwyth tâl DNS wedi’i dynnu’n fwy trylwyr nag y bwriadwyd.

Cyflwynwch fesul cam, un Mac ar y tro

Gosodwch ar un Mac a reolir sy’n rhedeg yr un adeiladwaith OS, yna gwiriwch dri pheth ar wahân: mae’r gwasanaeth yn ymddangos, mae’r datryswr yn newid, ac mae un cais mewnol go iawn yn llwyddo. Dim ond ar ôl y tri y dylid lledu’r cwmpas.

Tri chanlyniad gwahanol yw’r rhain sy’n methu mewn tair ffordd wahanol, a dyna sy’n gwneud un peiriant prawf yn werth y deng munud. Nid yw proffil sy’n mewnforio yn broffil sy’n gweithio, ac mae peiriant y cam cyntaf yn dal y ddau fath o fethiant cyn i weddill y fflyd weld y naill na’r llall.