VPN-profilo ne importiĝas en macOS: legu la ŝarĝon unue

Kiam profilo instaliĝas senprobleme sur unu Mac kaj estas rifuzata sur alia, la reto ankoraŭ ne estis atingita, do atestiloj, enirejoj kaj pasvortoj meritas neniun kulpon. La instalilo haltis ĉe ŝarĝo, kiun ĝi ne volis akcepti, kaj ĝi kutime registras kiun. Tio lasas la profilan dosieron kaj ĉion, kio ĝin generis, kiel la solajn prudentajn lokojn por labori, kaj ĝi igas viŝadon de agordoj sur la kliento maniero detrui pruvojn anstataŭ ripari.

Legu la profilon anstataŭ restarigi la Mac-on

Eksportu la .mobileconfig kaj rigardu, kion ĝi vere portas, antaŭ ol tuŝi la klienton:

plutil -p profile.mobileconfig | head -60

VPN-profilo estas fakte du ŝarĝoj kun malsamaj taskoj: com.apple.vpn.managed tenas la konekton, kaj com.apple.dnsSettings.managed tenas la agordon de la solvilo. La instalado haltas ĉe la unua ŝarĝo, kiun la instalilo rifuzas, kaj la rifuzo aperas en la sistema protokolo kun la nomo de tiu ŝarĝo, do la protokolo diras al vi, kiun sekcion malfermi. Konservu kopion de la lasta profilo, kiu ja importiĝis, ĉar tiu dosiero estas la bazo, kontraŭ kiu via diferenco estas mezurata.

Kion la generatoro silente aldonis

Apple Configurator 2.15, versio 7A23, eligis la sekvan blokon ene de sia DNS-ŝarĝo:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

En macOS 12.1, profiloj skribitaj de tiu versio estis rifuzataj ĉe importo. Konekto farita per Configurator 2.11.1 eniris sen plendo, ĉar tiu eldono tute ne skribis la ŝlosilon. Forigu la tutan DNS-vortaron aŭ nur la problemdonan ŝlosilon, resavu ĝin, poste reprovu sur la sama maŝino antaŭ ol ŝanĝi ion alian. Tiu unu modifo kutime estas la tuta riparo.

La ilo havas kaptilon, kiun indas koni antaŭ ol fidi ĝin. Post kiam la ŝlosilo estis forigita, savado de la sama konekto ne remetis ĝin, kaj ĝi reaperis nur kiam konekto estis kreita de nulo. Traktu ĉiun freŝe generitan profilon kiel suspektindan kaj kontrolu ĝin, precipe kiam tuta aro da konektoj estis farita en unu sesio.

La MDM-vojo malsukcesas aliloke

Administra servo, kiu puŝas la saman profilon, povas malsukcesi aliloke: la kliento plendas, ke neniu VPN-servo estis kreita entute. En la raportita kazo, ŝarĝo agordita por atestila aŭtentigo tamen postulis pasvortan kampon; plenigi ĝin per anstataŭa valoro lasis la profilon aplikiĝi, kaj nenio iam uzis tiun valoron por aŭtentigo.

Se vi iras tiun vojon, konservu falsan ĉenon kaj neniam vivan legitimilon, kaj tenu la veran sekreton ekster la korpo de la profilo. Profilo portanta funkciantan pasvorton iĝas dosiero, kiun oni devas protekti kiel ŝlosilon, kaj tio estas konsiderinde pli granda problemo ol la malsukcesa importo, kun kiu vi komencis. Decidu, al kiu apartenas tiu anstataŭa valoro, antaŭ ol la profilo estos disdonita, por ke neniu poste miskomprenu ĝin kiel valoron indan je rotacio. Dokumenti, kial ĝi ekzistas, prenas unu linion kaj ŝparas disputon post ses monatoj.

Konfirmu, ke la profilo vere alvenis

Sukcesa importo ne estas funkcianta servo, do kontrolu laŭ ĉi tiu ordo:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

La unua komando listigas instalitajn ŝarĝojn; la dua diras, ĉu VPN-servo entute ekzistas. La lasta, rulita post konektiĝo, montras la solvilon, kiun la sistemo vere uzos. Legu ilin laŭ tiu ordo kaj haltu tie, kie la ĉeno rompiĝas, ĉar mankanta servo igas ĉiun demandon pri la solvilo sensignifa. Profilo povas esti listigita kiel instalita kaj tamen posedi nenion uzeblan, kaj ĝuste tiun staton ĉi tiu sinsekvo celas malkaŝi.

Se la tunelo leviĝas dum serva enskribo ankoraŭ havas neniun uzeblan nomon, la kampo de montra nomo perdiĝis en la eksporto, kaj la kuracilo estas regenerita profilo anstataŭ renomado sur la kliento. Se la solvilo daŭre montras al la loka, la DNS-ŝarĝo estis forigita pli funde ol vi intencis.

Lanĉu la disvolvon laŭ etapoj, unu Mac samtempe

Instalu sur unu administrata Mac kun la sama OS-versio, poste kontrolu tri aferojn aparte: la servo aperas, la solvilo ŝanĝiĝas, kaj unu reala interna peto sukcesas. Nur post ĉiuj tri oni rajtas larĝigi la amplekson.

Tio estas tri malsamaj rezultoj, kiuj malsukcesas laŭ tri malsamaj manieroj, kaj tio igas unu testan maŝinon inda je la dek minutoj. Profilo, kiu importiĝas, ne estas profilo, kiu funkcias, kaj la maŝino de la unua etapo kaptas ambaŭ specojn de fiasko antaŭ ol la resto de la ŝiparo vidas iun ajn.