Mac meldet Cisco VPN: Welche der drei Varianten läuft bei Ihnen wirklich?
Ein nativer IPsec-Eintrag, der eingestellte Cisco VPN Client und Secure Client werden alle gleich genannt. Bestimmen Sie zuerst, wer der Eigentümer ist, bevor Sie alte Korrekturen anwenden.
Jemand sagt Ihnen, das Cisco VPN sei auf seinem Mac kaputt – und dieser Ausdruck deckt mindestens drei verschiedene Dinge ab. Er kann ein in macOS integriertes Profil meinen, eine Anwendung aus einer früheren Ära oder den Client, den Ihre Organisation heute ausrollt. Jedes davon hat eigene Fehlerbilder, und eine Lösung, die für das eine geschrieben wurde, ist für die anderen beiden meist irrelevant.
Die erste Aufgabe ist also keine Reparatur. Es geht um Identifikation, und die dauert etwa eine Minute, wenn Sie nach den richtigen Angaben fragen.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
Ein natives Label ist kein installierter Cisco-Treiber
Apple liefert einen VPN-Typ namens Cisco IPsec aus, und der ist nützlich – aber es ist Apples Umsetzung einer IPsec-Konfiguration, nicht die alte Drittanbieter-Anwendung und auch nicht das, was Ihr Sicherheitsteam anderswo ausrollt. Das Label sagt Ihnen, welchen Konfigurationsbereich Sie öffnen müssen, und nichts über den Herstellersupport.
Der umgekehrte Fehler kostet mehr. Wer annimmt, ein nativer Eintrag könne Secure Client ersetzen, überspringt Registrierung, Zertifikatsverwaltung, Posture-Prüfungen und die Richtlinie, die das Gateway erwartet. Ein von der Organisation verteiltes Profil ist nicht gleichwertig mit einer von Hand eingetippten Verbindung, auch wenn beide am Ende einen IPsec-Tunnel aufbauen. Dieser Unterschied ist im Einstellungsbereich unsichtbar und in den Logs des Gateways offensichtlich.
Fragen Sie den Gateway-Eigentümer nach drei Dingen: dem Mac-Client, den er unterstützt, dem genauen Profilnamen und der minimalen Client-Version. Fügen Sie die macOS-Version hinzu, die der Nutzer ausführt. Ein Server-Hostname allein beschreibt nichts davon, weshalb Tickets, die nur einen Hostnamen enthalten, gern zurückkommen.
Alte Kernel-Ratschläge gehören in ihr eigenes Jahrzehnt
Suchergebnisse zu Mac-VPN-Problemen sind voll von Anleitungen, beim Start Tasten zu halten, in eine andere Kernel-Architektur zu booten oder einen Helfer auszuführen, der älter ist als die heutigen Systemintegritätsschutzfunktionen. Diese Schritte stammen aus bestimmten alten Kombinationen von Mac-Hardware und Client-Builds. Sie heute zu wiederholen ist keine Migration, und auf einer aktuellen Version lassen sich manche davon überhaupt nicht mehr ausführen.
Es gibt eine verwandte Grenze, die man kennen sollte, weil sie im falschen Kontext zitiert wird. Apple dokumentiert, dass 32-Bit-Anwendungen ab Catalina 10.15 nicht mehr mit macOS kompatibel sind, ein so alter Client kann dort also unabhängig von Treibern oder Berechtigungen einfach nicht laufen. Das ist eine Anwendungskompatibilitätsgrenze, kein Kernel-Mode-Problem, und die beiden Erklärungen zu vermischen erzeugt Ratschläge, die niemandem helfen.
Wenn nur noch ein veralteter Client verfügbar ist, behandeln Sie sein Profil als sensibles Migrationsmaterial und fragen Sie nach dem freigegebenen Ersatz. Deaktivieren Sie keine Systemschutzfunktionen, installieren Sie keinen unsignierten Treiber und benennen Sie keine Datei mit der Endung .pcf um in der Hoffnung, ein moderner Client importiere sie: Eine PCF gehört zum Format des alten Clients, Secure Client nutzt seinen eigenen Profilmechanismus, und die beiden sind nicht per Dateiendung austauschbar.
Den Client vom Netzwerk trennen
Wenn der unterstützte Client bereits installiert ist und überwiegend funktioniert, ändert sich die interessante Frage. Schlägt er überall fehl oder nur in einem bestimmten Zugangsnetz? Ein Client, der von einer Heimverbindung aus verbindet und im Hotel scheitert, beschreibt Erreichbarkeit und nicht Architektur, und eine Neuinstallation der Anwendung ändert die Filterung des Hotels nicht. Testen Sie dasselbe Notebook in einem Netz, dem Sie vertrauen, bevor Sie die Installation anfassen.
Halten Sie den Fehler fest, bevor Sie etwas ändern. Das Log des Clients benennt meist die fehlgeschlagene Phase: Profilauswahl, Authentifizierung, Tunnelaufbau oder Richtlinie. Vergleichen Sie das mit einem erfolgreichen Versuch aus einem anderen Netz auf demselben Rechner, denn die Variable, die Sie testen, ist das Netzwerk, und der Client ist die Konstante.
Die Antwort für das nächste Ticket aufschreiben
Sobald Sie wissen, mit welchem der drei Sie es zu tun haben, halten Sie es im Ticket zusammen mit der installierten Version und dem macOS-Release fest. Diese eine Zeile erspart dem nächsten Techniker den Neuanfang und ermöglicht eine Herstellereskalation ohne eine zweite Fragerunde.
Prüfen Sie dann das eine, was der Nutzer wirklich braucht: ob der aktuelle Client die Ressource erreichen kann, und nicht bloß, ob die Tunnelanzeige grün wurde. Für die Kompatibilitätsgrenze, die in diesen Threads immer wieder auftaucht, ist Apples Hinweis zum Ende der 32-Bit-App-Unterstützung mit macOS Catalina die Referenz, die man statt Folklore zitieren sollte.