VPN-profiil ei impordi macOS-is: lugege esmalt kasulikku koormust

Profiil, mis ühes Macis lükatakse tagasi ja teises võetakse vastu, on tavaliselt kasuliku koormuse probleem. Võrrelge XML-i, vaadake, mida generaator lisas, ja seejärel kontrollige teenust.

Kui profiil paigaldub ühes Macis puhtalt ja lükatakse teises tagasi, ei ole võrku veel jõutud, nii et sertifikaadid, lüüsid ja paroolid ei vääri süüdistust. Paigaldaja peatus kasulikul koormusel, mida ta ei nõustunud vastu võtma, ja tavaliselt märgib, millisega oli tegu. See jätab profiilifaili ja kõik selle genereerinu ainsateks mõistlikeks töökohtadeks ning seadete kustutamine kliendis muutub tõendite hävitamise viisiks, mitte paranduseks.

Lugege profiili, selle asemel et Mac lähtestada

Eksportige .mobileconfig ja vaadake, mida see tegelikult sisaldab, enne kui klienti puudutate:

plutil -p profile.mobileconfig | head -60

VPN-profiil on tegelikult kaks erinevat tööd tegevat kasulikku koormust: com.apple.vpn.managed hoiab ühendust ja com.apple.dnsSettings.managed hoiab nimerelahendaja seadistust. Paigaldus peatub esimesel kasulikul koormusel, mille paigaldaja tagasi lükkab, ja tagasilükkamine jõuab süsteemilogi selle koormuse nimega, seega just logi ütleb teile, millist jaotist avada. Hoidke koopiat viimasest profiilist, mis siiski importis, sest see fail on alus, millega teie erinevust mõõdetakse.

Mida generaator vaikselt lisas

Apple Configurator 2.15, versioon 7A23, väljastas oma DNS-i kasuliku koormuse sees järgmise ploki:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

macOS 12.1-s lükati selle versiooni kirjutatud profiilid importimisel tagasi. Configuratoriga 2.11.1 loodud ühendus läks ilma kaebuseta sisse, sest see väljaanne ei kirjutanud võtit üldse. Eemaldage kogu DNS-i sõnastik või ainult probleemne võti, salvestage uuesti ja proovige siis samas masinas uuesti, enne kui midagi muud muudate. Tavaliselt on see üks muudatus kogu parandus.

Tööriistal on lõks, mida tasub teada enne, kui seda usaldate. Pärast võtme kustutamist ei toonud sama ühenduse salvestamine seda tagasi ja see ilmnes uuesti alles siis, kui ühendus loodi nullist. Käsitlege iga värskelt genereeritud profiili kahtlasena ja kontrollige seda, eriti kui terve hulk ühendusi loodi ühe istungiga.

MDM-i tee ebaõnnestub mujal

Haldusteenus, mis sama profiili saadab, võib ebaõnnestuda teises kohas: klient kaebab, et VPN-i teenust ei loodud üldse. Teatatud juhul oli kasulik koormus seadistatud sertifikaadi autentimiseks, kuid nõudis siiski parooli välja; selle täitmine kohatäitega lubas profiili rakendada ja miski ei kasutanud seda väärtust kunagi autentimiseks.

Kui selle tee valite, hoidke näiv string ja mitte kunagi tegelikke volitusi, ning hoidke tõeline saladus profiili kehast väljas. Toimiva parooliga profiilist saab fail, mida tuleb kaitsta nagu võtit, ja see on tunduvalt suurem probleem kui ebaõnnestunud import, millega alustasite. Otsustage, kellele see kohatäide kuulub, enne kui profiil levitatakse, et keegi ei peaks seda hiljem väärtuseks, mida tasub rotatsioonida. Selle dokumenteerimine, miks see olemas on, võtab ühe rea ja säästab kuue kuu pärast vaidluse.

Kinnitage, et profiil tõesti kohale jõudis

Edukas import ei ole toimiv teenus, seega kontrollige selles järjekorras:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Esimene käsk loetleb paigaldatud kasulikud koormused; teine ütleb, kas VPN-i teenus üldse olemas on. Viimane, pärast ühendamist käivitatud, näitab nimerelahendajat, mida süsteem tegelikult kasutab. Lugege neid selles järjekorras ja peatuge seal, kus kett katkeb, sest puuduv teenus muudab iga nimerelahendaja kohta käiva küsimuse mõttetuks. Profiil võib olla loetletud paigaldatuna ja omada siiski mitte midagi kasutatavat, ja just seda olekut on see jada mõeldud paljastama.

Kui tunnel tõuseb, samal ajal kui teenuse kirjel pole veel kasutatavat nime, läks kuvatava nime väli ekspordis kaduma ja ravim on uuesti genereeritud profiil, mitte ümbernimetamine kliendis. Kui nimerelahendaja osutab endiselt kohalikule, eemaldati DNS-i kasulik koormus põhjalikumalt, kui kavatsesite.

Juurutage etappide kaupa, üks Mac korraga

Paigaldage ühte hallatavasse Maci, kus jookseb sama OS-i versioon, seejärel kontrollige kolme asja eraldi: teenus ilmub, nimerelahendaja muutub ja üks tõeline sisemine päring õnnestub. Alles pärast kõiki kolme tohiks ulatust laiendada.

Need on kolm erinevat tulemust, mis ebaõnnestuvad kolmel erineval viisil, ja just see teeb ühe testmasina need kümme minutit väärt. Importiv profiil ei ole töötav profiil, ja esimese etapi masin püüab mõlemad tõrketüübid enne, kui ülejäänud laevastik kumbagi näeb.

Seotud artiklid