VPN-profiilia ei voi tuoda macOS:ään: lue ensin hyötykuorma

Kun profiili asentuu siististi yhdellä Macilla ja hylätään toisella, verkkoa ei ole vielä saavutettu, joten sertifikaatit, yhdyskäytävät ja salasanat eivät ansaitse syytöstä. Asennusohjelma pysähtyi hyötykuormaan, jota se ei hyväksyisi, ja yleensä se kirjaa, mihin. Näin profiilitiedosto ja kaikki sen luonut jäävät ainoiksi järkeviksi työskentelypaikoiksi, ja asetusten pyyhkimisestä asiakkaalla tulee todisteiden tuhoamista korjauksen sijaan.

Lue profiili sen sijaan että nollaat Macin

Vie .mobileconfig ja katso, mitä se todella sisältää, ennen kuin kosket asiakkaaseen:

plutil -p profile.mobileconfig | head -60

VPN-profiili on oikeastaan kaksi eri työtä tekevää hyötykuormaa: com.apple.vpn.managed sisältää yhteyden ja com.apple.dnsSettings.managed sisältää nimipalvelimen määrityksen. Asennus pysähtyy ensimmäiseen hyötykuormaan, jonka asennusohjelma hylkää, ja hylkäys päätyy järjestelmälokiin kyseisen hyötykuorman nimellä, joten loki kertoo, minkä osion avaat. Säilytä kopio viimeisestä profiilista, joka kuitenkin tuotiin, koska se tiedosto on perusta, jota vasten erojasi mitataan.

Mitä generaattori lisäsi hiljaa

Apple Configurator 2.15, koontiversio 7A23, tuotti seuraavan lohkon DNS-hyötykuormansa sisään:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

macOS 12.1:ssä kyseisen koontiversion kirjoittamat profiilit hylättiin tuonnissa. Configurator 2.11.1:llä tehty yhteys meni sisään valittamatta, koska se julkaisu ei kirjoittanut avainta lainkaan. Poista koko DNS-sanakirja tai vain ongelmallinen avain, tallenna uudelleen ja yritä sitten samalla koneella ennen kuin muutat mitään muuta. Yleensä tuo yksi muutos on koko korjaus.

Työkalussa on ansa, joka kannattaa tuntea ennen kuin luotat siihen. Kun avain oli poistettu, saman yhteyden tallentaminen ei palauttanut sitä, ja se ilmestyi uudelleen vasta kun yhteys luotiin tyhjästä. Kohtele jokaista juuri luotua profiilia epäilyttävänä ja tarkasta se, varsinkin kun koko erä yhteyksiä tehtiin yhdellä istunnolla.

MDM-polku epäonnistuu muualla

Hallintapalvelu, joka työntää samaa profiilia, voi epäonnistua toisessa kohdassa: asiakas valittaa, ettei VPN-palvelua luotu lainkaan. Raportoidussa tapauksessa hyötykuorma oli määritetty sertifikaattitodennukseen ja vaati silti salasanakentän; sen täyttäminen paikkamerkillä salli profiilin käyttöönoton, eikä mikään koskaan käyttänyt tuota arvoa todennukseen.

Jos valitset tuon polun, tallenna tekaistu merkkijono etkä koskaan oikeita tunnuksia, ja pidä varsinainen salaisuus poissa profiilin rungosta. Toimivalla salasanalla varustettu profiili muuttuu tiedostoksi, jota on suojattava kuin avainta, ja se on huomattavasti suurempi ongelma kuin epäonnistunut tuonti, jolla aloitit. Päätä, kenelle tuo paikkamerkki kuuluu, ennen kuin profiili jaetaan, ettei kukaan myöhemmin luule sitä arvoksi, joka kannattaa kierrättää. Sen dokumentointi, miksi se on olemassa, vie yhden rivin ja säästää riidan puolen vuoden päästä.

Varmista, että profiili todella laskeutui

Onnistunut tuonti ei ole toimiva palvelu, joten tarkista tässä järjestyksessä:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Ensimmäinen komento luettelee asennetut hyötykuormat; toinen kertoo, onko VPN-palvelua ylipäätään olemassa. Viimeinen, yhteyden jälkeen ajettu, näyttää nimipalvelimen, jota järjestelmä todella käyttää. Lue ne tässä järjestyksessä ja pysähdy siihen, missä ketju katkeaa, koska puuttuva palvelu tekee mistä tahansa nimipalvelinkysymyksestä merkityksettömän. Profiili voi olla listattu asennetuksi ja silti omistaa jotain käyttökelvotonta, ja juuri sen tilan tämä sarja on suunniteltu paljastamaan.

Jos tunneli nousee, kun palvelumerkinnällä ei vielä ole käyttökelpoista nimeä, näyttönimen kenttä katosi viennissä, ja lääke on uudelleen luotu profiili eikä uudelleennimeäminen asiakkaalla. Jos nimipalvelin osoittaa edelleen paikalliseen, DNS-hyötykuorma poistettiin perusteellisemmin kuin tarkoitit.

Ota käyttöön vaiheittain, yksi Mac kerrallaan

Asenna yhdelle hallitulle Macille, jossa on sama käyttöjärjestelmän koontiversio, ja tarkista sitten kolme asiaa erikseen: palvelu ilmestyy, nimipalvelin vaihtuu ja yksi todellinen sisäinen pyyntö onnistuu. Vasta kun kaikki kolme täyttyvät, laajuutta voi laajentaa.

Ne ovat kolme eri tulosta, jotka epäonnistuvat kolmella eri tavalla, ja juuri siksi yksi testikone on sen kymmenen minuutin arvoinen. Profiili, joka tuodaan, ei ole profiili, joka toimii, ja ensimmäisen vaiheen kone nappaa molemmat vikatyypit ennen kuin muu laivue näkee kumpaakaan.