Το προφίλ VPN δεν εισάγεται στο macOS: διαβάστε πρώτα το ωφέλιμο φορτίο

Όταν ένα προφίλ εγκαθίσταται καθαρά σε ένα Mac και απορρίπτεται σε άλλο, το δίκτυο δεν έχει προσεγγιστεί ακόμη, οπότε τα πιστοποιητικά, οι πύλες και οι κωδικοί δεν φταίνε σε τίποτα. Ο εγκαταστάτης σταμάτησε σε ένα ωφέλιμο φορτίο που δεν δεχόταν, και συνήθως καταγράφει ποιο. Έτσι μένουν το αρχείο του προφίλ και ό,τι το δημιούργησε ως τα μόνα λογικά σημεία εργασίας, και η διαγραφή ρυθμίσεων στον πελάτη γίνεται τρόπος καταστροφής αποδείξεων αντί για επισκευή.

Διαβάστε το προφίλ αντί να επαναφέρετε το Mac

Εξαγάγετε το .mobileconfig και δείτε τι πραγματικά περιέχει πριν αγγίξετε τον πελάτη:

plutil -p profile.mobileconfig | head -60

Ένα προφίλ VPN είναι στην πραγματικότητα δύο ωφέλιμα φορτία με διαφορετικές δουλειές: το com.apple.vpn.managed κρατά τη σύνδεση, και το com.apple.dnsSettings.managed κρατά τη διαμόρφωση του resolver. Η εγκατάσταση σταματά στο πρώτο ωφέλιμο φορτίο που απορρίπτει ο εγκαταστάτης, και η απόρριψη καταλήγει στο αρχείο καταγραφής του συστήματος με το όνομα αυτού του φορτίου, άρα το αρχείο καταγραφής σας λέει ποια ενότητα να ανοίξετε. Κρατήστε αντίγραφο του τελευταίου προφίλ που εισήχθη, γιατί αυτό το αρχείο είναι η βάση με την οποία μετριέται η διαφορά σας.

Τι πρόσθεσε σιωπηλά η γεννήτρια

Το Apple Configurator 2.15, build 7A23, εξέδωσε το ακόλουθο μπλοκ μέσα στο ωφέλιμο φορτίο DNS του:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

Στο macOS 12.1, τα προφίλ που έγραφε αυτό το build απορρίπτονταν κατά την εισαγωγή. Μια σύνδεση που έγινε με το Configurator 2.11.1 πέρασε χωρίς παράπονο, αφού εκείνη η έκδοση δεν έγραφε καθόλου το κλειδί. Αφαιρέστε ολόκληρο το λεξικό DNS ή μόνο το προβληματικό κλειδί, αποθηκεύστε ξανά και μετά δοκιμάστε στο ίδιο μηχάνημα πριν αλλάξετε οτιδήποτε άλλο. Αυτή η μία αλλαγή είναι συνήθως ολόκληρη η επισκευή.

Το εργαλείο έχει μια παγίδα που αξίζει να τη ξέρετε πριν το εμπιστευτείτε. Αφού διαγράφηκε το κλειδί, η αποθήκευση της ίδιας σύνδεσης δεν το επανέφερε, και εμφανίστηκε ξανά μόνο όταν δημιουργήθηκε σύνδεση από το μηδέν. Θεωρήστε κάθε φρέσκο προφίλ ύποπτο και επιθεωρήστε το, ειδικά όταν μια ολόκληρη παρτίδα συνδέσεων έγινε σε μία συνεδρία.

Η διαδρομή MDM αποτυγχάνει αλλού

Μια υπηρεσία διαχείρισης που σπρώχνει το ίδιο προφίλ μπορεί να αποτύχει σε άλλο σημείο: ο πελάτης παραπονιέται ότι δεν δημιουργήθηκε καθόλου υπηρεσία VPN. Στην αναφερόμενη περίπτωση, ένα ωφέλιμο φορτίο είχε ρυθμιστεί για έλεγχο ταυτότητας με πιστοποιητικό και ωστόσο απαιτούσε πεδίο κωδικού· η συμπλήρωσή του με μια τιμή-θέση επέτρεψε την εφαρμογή του προφίλ, και τίποτα δεν χρησιμοποίησε ποτέ αυτή την τιμή για έλεγχο ταυτότητας.

Αν ακολουθήσετε αυτή τη διαδρομή, αποθηκεύστε μια ψεύτικη συμβολοσειρά και ποτέ πραγματικά διαπιστευτήρια, και κρατήστε το αληθινό μυστικό έξω από το σώμα του προφίλ. Ένα προφίλ που κουβαλά κωδικό που δουλεύει γίνεται αρχείο που πρέπει να προστατεύεται σαν κλειδί, και αυτό είναι πολύ μεγαλύτερο πρόβλημα από την αποτυχημένη εισαγωγή με την οποία ξεκινήσατε. Αποφασίστε σε ποιον ανήκει αυτή η τιμή-θέση πριν διανεμηθεί το προφίλ, ώστε να μην την εκλάβει κάποιος αργότερα ως τιμή που αξίζει εναλλαγή. Η τεκμηρίωση του γιατί υπάρχει παίρνει μία γραμμή και γλιτώνει έναν καβγά σε έξι μήνες.

Επιβεβαιώστε ότι το προφίλ προσγειώθηκε πραγματικά

Η επιτυχημένη εισαγωγή δεν είναι υπηρεσία που δουλεύει, γι’ αυτό ελέγξτε με αυτή τη σειρά:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Η πρώτη εντολή απαριθμεί τα εγκατεστημένα ωφέλιμα φορτία· η δεύτερη λέει αν υπάρχει καθόλου υπηρεσία VPN. Η τελευταία, εκτελεσμένη μετά τη σύνδεση, δείχνει τον resolver που θα χρησιμοποιήσει πραγματικά το σύστημα. Διαβάστε τις με αυτή τη σειρά και σταματήστε εκεί όπου σπάει η αλυσίδα, γιατί μια υπηρεσία που λείπει κάνει κάθε ερώτηση για τον resolver άνευ νοήματος. Ένα προφίλ μπορεί να εμφανίζεται εγκατεστημένο και παρ’ όλα αυτά να μην κατέχει τίποτα χρησιμοποιήσιμο, και αυτή ακριβώς είναι η κατάσταση που αυτή η ακολουθία σχεδιάστηκε να αποκαλύψει.

Αν ο δίαυλος σηκωθεί ενώ μια καταχώριση υπηρεσίας εξακολουθεί να μην έχει χρησιμοποιήσιμο όνομα, το πεδίο εμφανιζόμενου ονόματος χάθηκε στην εξαγωγή, και η θεραπεία είναι ένα αναγεννημένο προφίλ και όχι μια μετονομασία στον πελάτη. Αν ο resolver συνεχίζει να δείχνει στον τοπικό, το ωφέλιμο φορτίο DNS αφαιρέθηκε πιο διεξοδικά απ’ ό,τι σκοπεύατε.

Κυλήστε σε στάδια, ένα Mac τη φορά

Εγκαταστήστε σε ένα διαχειριζόμενο Mac με το ίδιο build λειτουργικού, και μετά ελέγξτε τρία πράγματα χωριστά: η υπηρεσία εμφανίζεται, ο resolver αλλάζει, και ένα πραγματικό εσωτερικό αίτημα πετυχαίνει. Μόνο αφού ισχύσουν και τα τρία πρέπει να διευρυνθεί το πεδίο.

Αυτά είναι τρία διαφορετικά αποτελέσματα που αποτυγχάνουν με τρεις διαφορετικούς τρόπους, και γι’ αυτό ένα μηχάνημα δοκιμής αξίζει τα δέκα λεπτά. Ένα προφίλ που εισάγεται δεν είναι προφίλ που δουλεύει, και το μηχάνημα του πρώτου σταδίου πιάνει και τους δύο τύπους αποτυχίας πριν τους δει ο υπόλοιπος στόλος.