نمایهٔ VPN در macOS وارد نمی‌شود: نخست محموله را بخوانید

وقتی نمایه روی یک Mac بی‌عیب نصب می‌شود و روی دیگری رد می‌شود، هنوز به شبکه نرسیده‌ایم، پس گواهی‌ها، دروازه‌ها و گذرواژه‌ها هیچ تقصیری ندارند. نصب‌کننده روی محموله‌ای ایستاد که نمی‌خواست بپذیرد و معمولاً ثبت می‌کند کدام یکی بوده است. این کار پروندهٔ نمایه و هر چیزی را که آن را ساخته تنها جای معقول برای کار باقی می‌گذارد و پاک کردن تنظیمات روی کلاینت را به راهی برای نابودی شواهد بدل می‌کند، نه تعمیر.

نمایه را بخوانید، نه اینکه Mac را بازنشانی کنید

.mobileconfig را صادر کنید و پیش از دست زدن به کلاینت ببینید واقعاً چه چیزی در آن است:

plutil -p profile.mobileconfig | head -60

نمایهٔ VPN در واقع دو محموله با کارهای متفاوت است: com.apple.vpn.managed اتصال را نگه می‌دارد و com.apple.dnsSettings.managed پیکربندی حل‌کننده را. نصب روی نخستین محموله‌ای می‌ایستد که نصب‌کننده رد می‌کند و رد شدن با نام همان محموله در گزارش سیستم ثبت می‌شود، پس همان گزارش می‌گوید کدام بخش را باز کنید. از آخرین نمایه‌ای که واقعاً وارد شد نسخهٔ پشتیبان نگه دارید، چون آن پرونده مبنایی است که اختلاف شما با آن سنجیده می‌شود.

آنچه مولد بی‌صدا افزود

Apple Configurator 2.15 ساخت 7A23 بلوک زیر را درون محمولهٔ DNS خود منتشر کرد:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

در macOS 12.1 نمایه‌هایی که آن ساخت می‌نوشت هنگام ورود رد می‌شدند. اتصالی که با Configurator 2.11.1 ساخته شده بود بی هیچ شکایتی وارد شد، چون آن نسخه اصلاً کلید را نمی‌نوشت. کل فرهنگ لغت DNS یا فقط کلید مشکل‌دار را بردارید، دوباره ذخیره کنید و سپس پیش از تغییر هر چیز دیگر روی همان دستگاه دوباره بیازمایید. معمولاً همان یک ویرایش تمام تعمیر است.

این ابزار دامی دارد که پیش از اعتماد به آن ارزش دانستن دارد. پس از پاک شدن کلید، ذخیرهٔ همان اتصال آن را برنگرداند و تنها زمانی دوباره ظاهر شد که اتصالی از صفر ساخته شد. با هر نمایهٔ تازه‌ساخته مثل یک مورد مشکوک برخورد کنید و آن را بررسی کنید، به‌ویژه وقتی یک دستهٔ کامل اتصال در یک نشست ساخته شده است.

مسیر MDM جای دیگری شکست می‌خورد

سرویس مدیریتی که همان نمایه را می‌فرستد می‌تواند در نقطهٔ دیگری شکست بخورد: کلاینت شکایت می‌کند که اصلاً هیچ سرویس VPN ساخته نشده است. در مورد گزارش‌شده، محموله‌ای برای احراز هویت با گواهی پیکربندی شده بود اما با این حال یک فیلد گذرواژه می‌خواست؛ پر کردن آن با یک جای‌نگهدار اجازه داد نمایه اعمال شود و هیچ چیز هرگز از آن مقدار برای احراز هویت استفاده نکرد.

اگر این مسیر را برگزیدید، یک رشتهٔ ساختگی ذخیره کنید و هرگز یک اعتبارنامهٔ واقعی نه، و راز واقعی را بیرون از بدنهٔ نمایه نگه دارید. نمایه‌ای که گذرواژهٔ کارآمد دارد به پرونده‌ای بدل می‌شود که باید مثل یک کلید محافظت شود و این مشکلی بسیار بزرگ‌تر از ورود ناموفقی است که با آن شروع کردید. پیش از توزیع نمایه تصمیم بگیرید آن جای‌نگهدار از کیست، تا بعداً کسی آن را مقداری نشمارد که ارزش چرخاندن دارد. مستند کردن اینکه چرا وجود دارد یک خط می‌برد و شش ماه بعد از یک بحث جلوگیری می‌کند.

تأیید کنید که نمایه واقعاً نشسته است

موفقیت در ورود به معنای سرویس کارآمد نیست، پس به این ترتیب بررسی کنید:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

فرمان نخست محموله‌های نصب‌شده را فهرست می‌کند؛ دومی می‌گوید اصلاً سرویس VPN وجود دارد یا نه. فرمان آخر، که پس از اتصال اجرا می‌شود، حل‌کننده‌ای را نشان می‌دهد که سیستم واقعاً به کار می‌برد. آن‌ها را به همین ترتیب بخوانید و هرجا زنجیره پاره شد همان‌جا بایستید، چون نبود سرویس هر پرسشی دربارهٔ حل‌کننده را بی‌معنا می‌کند. ممکن است نمایه‌ای نصب‌شده فهرست شود و با این حال چیزی قابل استفاده نداشته باشد و این دقیقاً همان حالتی است که این توالی برای آشکار کردنش طراحی شده است.

اگر تونل بالا بیاید در حالی که ورودی سرویس هنوز نام قابل استفاده‌ای ندارد، فیلد نام نمایشی در صدور از دست رفته است و درمان، نمایهٔ بازتولیدشده است نه تغییر نام روی کلاینت. اگر حل‌کننده همچنان به محلی اشاره کند، محمولهٔ DNS عمیق‌تر از آنچه می‌خواستید برداشته شده است.

عرضه را مرحله به مرحله انجام دهید، هر بار یک Mac

روی یک Mac مدیریت‌شده که همان ساخت سیستم‌عامل را دارد نصب کنید، سپس سه چیز را جداگانه بررسی کنید: سرویس ظاهر می‌شود، حل‌کننده تغییر می‌کند و یک درخواست داخلی واقعی موفق می‌شود. تنها پس از هر سه مورد باید دامنه گسترش یابد.

این‌ها سه نتیجهٔ متفاوت‌اند که به سه شکل متفاوت شکست می‌خورند و همین است که یک دستگاه آزمون را ارزش آن ده دقیقه می‌کند. نمایه‌ای که وارد می‌شود نمایه‌ای نیست که کار می‌کند و دستگاه مرحلهٔ نخست هر دو نوع شکست را پیش از آنکه بقیهٔ ناوگان یکی را ببیند می‌گیرد.