Mac siger Cisco VPN: hvilken af de tre kører du egentlig?
En indbygget IPsec-post, den nedlagte Cisco VPN Client og Secure Client kaldes alle det samme. Identificér ejeren, før du anvender gamle rettelser.
Nogen fortæller dig, at Cisco VPN er i stykker på deres Mac, og den vending dækker mindst tre forskellige objekter. Det kan betyde en profil, der er indbygget i macOS, et program fra en tidligere æra eller den klient, din organisation udruller i dag. Hver har sine egne fejltilstande, og en rettelse skrevet til den ene er normalt irrelevant for de to andre.
Så den første opgave er ikke en rettelse. Det er identifikation, og det tager cirka et minut, hvis du spørger om de rigtige detaljer.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
Et indbygget navn er ikke en installeret Cisco-driver
Apple leverer en VPN-type med navnet Cisco IPsec, og den er nyttig, men det er Apples implementering af et IPsec-arrangement, ikke det gamle tredjepartsprogram eller hvad dit sikkerhedsteam udruller andre steder. Navnet fortæller dig, hvilket konfigurationspanel du skal åbne, og intet om leverandørens support.
Den omvendte fejl koster mere. At antage, at en indbygget post kan erstatte Secure Client, springer tilmelding, certifikathåndtering, posture-kontroller og den politik over, som gatewayen forventer. En profil, som organisationen sender ud, er ikke ensbetydende med en forbindelse, nogen har tastet ind manuelt, selv når begge til sidst etablerer en IPsec-tunnel. Forskellen er usynlig i indstillingspanelet og tydelig i gatewayens egne logfiler.
Spørg gatewayens ejer om tre ting: den Mac-klient, de understøtter, det præcise profilnavn og den mindste klientversion. Tilføj den macOS-version, brugeren kører. Et serverværtsnavn alene beskriver intet af det, og derfor har sager, der kun indeholder et værtsnavn, tendens til at gå retur.
Gamle kernel-råd hører til deres eget årti
Søgeresultater om Mac VPN-problemer er fulde af instruktioner om at holde taster nede under opstart, boote i en anden kernel-arkitektur eller køre en hjælper, der er ældre end de nuværende beskyttelser af systemets integritet. De trin kommer fra bestemte gamle kombinationer af Mac-hardware og klient-builds. At gentage dem nu er ikke en migrering, og på en aktuel version kan nogle af dem slet ikke udføres.
Der er en beslægtet grænse, som er værd at kende, fordi den citeres i den forkerte sammenhæng. Apple dokumenterer, at 32-bit-programmer holdt op med at være kompatible med macOS fra og med Catalina 10.15, så en så gammel klient kan simpelthen ikke køre der, uanset drivere eller tilladelser. Det er en grænse for programkompatibilitet, ikke et kernel-mode-problem, og at blande de to forklaringer giver råd, der ikke hjælper nogen.
Hvis der kun er en forældet klient tilbage, skal du behandle dens profil som følsomt migreringsmateriale og bede om den godkendte erstatning. Deaktiver ikke systembeskyttelser, installer ikke en usigneret driver, og omdøb ikke en fil med endelsen .pcf i håb om, at en moderne klient importerer den: en PCF hører til den gamle klients format, Secure Client bruger sin egen profil-mekanisme, og de to kan ikke udskiftes efter endelse.
Adskil klienten fra netværket
Når den understøttede klient allerede er installeret og stort set virker, ændrer det interessante spørgsmål sig. Fejler den overalt, eller kun på ét adgangsnetværk? En klient, der forbinder fra en hjemmeforbindelse og fejler på et hotel, beskriver nåbarhed, ikke arkitektur, og en geninstallering af programmet ændrer ikke hotellets filtrering. Test den samme bærbare på et netværk, du stoler på, før du rører ved installationen.
Fang fejlen, før du ændrer noget. Klientens egen log navngiver normalt den fase, der fejlede: profilvalg, godkendelse, tunneletablering eller politik. Sammenlign det med et vellykket forsøg fra et andet netværk på samme maskine, fordi den variabel, du tester, er netværket, og klienten er konstanten.
Skriv svaret ned til den næste sag
Når du ved, hvilken af de tre du har med at gøre, så noter det i sagen sammen med den installerede version og macOS-udgivelsen. Den ene linje forhindrer den næste ingeniør i at starte forfra og gør en eskalering til leverandøren mulig uden en anden runde spørgsmål.
Kontrollér derefter den ene ting, brugeren faktisk har brug for: om den aktuelle klient kan nå ressourcen, og ikke bare om tunnelindikatoren blev grøn. For den kompatibilitetsgrænse, der hele tiden dukker op i disse tråde, er Apples note om afslutningen på 32-bit-appsupport med macOS Catalina den reference, der er værd at citere i stedet for folkloremateriale.