VPN-profyl wurdt net ymportearre op macOS: lês earst de payload

In profyl dat op ien Mac wegere en op in oare akseptearre wurdt, is meastentiids in payload-probleem. Ferlykje de XML, kontrolearje wat de generator tafoege hat, en kontrolearje dêrnei de tsjinst.

As in profyl op ien Mac sûnder problemen ynstallearret en op in oare wegere wurdt, is it netwurk noch net berikt, dus sertifikaten, poarten en wachtwurden fertsjinje gjin skuld. De ynstallearder stoppe by in payload dy’t er net akseptearje woe, en registrearret normaal hokker. Dat lit it profylbestân en alles wat it makke hat as de iennige ferstannige plakken om te wurkjen, en it wiskjen fan ynstellingen op de klant wurdt in manier om bewiis te ferneatigjen ynstee fan in reparaasje.

Lês it profyl ynstee fan de Mac te resetten

Eksportearje de .mobileconfig en sjoch wat er echt yn sit foardat jo de klant oanreitsje:

plutil -p profile.mobileconfig | head -60

In VPN-profyl is eins twa payloads mei ferskillende taken: com.apple.vpn.managed hâldt de ferbining, en com.apple.dnsSettings.managed hâldt de resolver-konfiguraasje. De ynstallaasje stopet by de earste payload dy’t de ynstallearder wegeret, en de wegering bedarret yn it systeemlogboek mei dy payload by namme, dus it logboek fertelt jo hokker seksje jo iepenje moatte. Bewarje in kopy fan it lêste profyl dat wol ymportearre, want dat bestân is de basis dêr’t jo ferskil tsjin metten wurdt.

Wat de generator stil tafoege

Apple Configurator 2.15, build 7A23, stjoerde it folgjende blok út binnen syn DNS-payload:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

Op macOS 12.1 waarden profylen skreaun troch dy build by ymport wegere. In ferbining makke mei Configurator 2.11.1 gie sûnder klacht nei binnen, om’t dy ferzje de kaai hielendal net skreau. Ferwiderje it hiele DNS-wurdboek of allinnich de oansteande kaai, bewarje it wer en besykje it dêrnei op deselde masine foardat jo eat oars feroarje. Dy iene bewurking is meastentiids de hiele reparaasje.

It helpmiddel hat in falstrik dy’t it wurdich is te kennen foardat jo it fertrouwe. Nei’t de kaai wiske wie, sette it bewarjen fan deselde ferbining him net werom, en hy ferskynde pas wer doe’t in ferbining fan nul ôf makke waard. Behannelje elk nij generearre profyl as fertocht en ûndersykje it, benammen as in hiele rige ferbiningen yn ien sitting makke waard.

It MDM-paad mislearret earne oars

In beheardtsjinst dy’t itselde profyl drukt, kin earne oars mislearje: de klant klaget dat der hielendal gjin VPN-tsjinst makke is. Yn it rapporteare gefal hie in payload dy’t foar sertifikaat-autentikaasje konfigurearre wie dochs in wachtwurd fjild nedich; it ynfoljen dêrfan mei in plakhâlder liet it profyl tapasse, en neat brûkte ea dy wearde om te autentisearjen.

As jo dat paad geane, bewarje in dummy-string en nea libbene oanmeldgegevens, en hâld it echte geheim bûten it lichem fan it profyl. In profyl mei in wurkjend wachtwurd wurdt in bestân dat as in kaai beskerme wurde moat, en dat is in folle grutter probleem as de mislearre ymport dêr’t jo mei begûn. Beslis wa’t dy plakhâlder hat foardat it profyl ferspraat wurdt, sadat nimmen him letter foar in wearde oansjocht dy’t fernijt wurde moat. Dokumintearje wêrom’t er bestiet kostet ien rigel en sparret in rûzje oer seis moannen.

Befêstigje dat it profyl echt lâne is

In suksesfolle ymport is gjin wurkjende tsjinst, dus kontrolearje yn dizze folchoarder:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

It earste kommando listet ynstalleare payloads op; it twadde seit oft der hielendal in VPN-tsjinst bestiet. It lêste, útfierd nei it ferbinen, lit de resolver sjen dy’t it systeem echt brûke sil. Lês se yn dy folchoarder en stopje wêr’t de keatling brekt, om’t in ûntbrekkende tsjinst elke fraach oer de resolver sinleas makket. In profyl kin as ynstalleare list wurde en dochs neat brûkbers hawwe, en dat is krekt de tastân dy’t dizze searje ûntdekke moat.

As de tunnel omheech komt wylst in tsjinstynskriuwing noch gjin brûkbere namme hat, is it fjild foar de werjefte namme by de eksport ferlern gien, en it genêskrûd is in werom makke profyl ynstee fan in omneaming op de klant. As de resolver blyft wizen nei de lokale, is de DNS-payload grûniger fuorthelle as jo bedoelden.

Rôlje it út yn fazen, ien Mac tagelyk

Ynstallearje op ien beheard Mac mei deselde OS-build, en kontrolearje dan trije dingen apart: de tsjinst ferskynt, de resolver feroaret, en ien echte ynterne oanfraach slagget. Pas nei alle trije moat it berik breder wurde.

Dat binne trije ferskillende resultaten dy’t op trije ferskillende manieren mislearje, en dat is wat ien testmasine de tsien minuten wurdich makket. In profyl dat ymportearret is gjin profyl dat wurket, en de masine fan ’e earste faze fangt beide soarten falen foardat de rest fan ’e float ien fan beide sjocht.

Relatearre artikelen