O teu script inicia a VPN; non a aprovisiona

Escribes un script que executa scutil --nc start co nome da conexión, funciona no teu Mac e falla en cada máquina recentemente instalada da oficina. O script non está roto. Pídeselle algo que nunca puido facer: iniciar unha conexión existente non é a mesma operación que crear unha.

O aprovisionamento e o control de sesión son dous traballos con dous responsables, e un fluxo de traballo que asuma o contrario pasará todas as probas na máquina onde se escribiu.

Con que fala realmente o comando de inicio

Un comando de control de sesión diríxese a unha configuración que xa existe e que xa está aprobada. Pide ao sistema que levante esa conexión con nome, usando os axustes do servidor, as referencias de identidade e a política que se gardaron antes. Se eses nunca se instalaron, non hai nada que iniciar.

Por iso o fallo aparece en hardware novo e non no portátil do administrador. O portátil aprovisionouse hai meses por unha persoa que desde entón o esqueceu. Pensa no comando de inicio como un timbre que alguén cableou o trimestre pasado. Premer nel non é o mesmo que instalar o cableado.

Tres responsables dunha configuración de VPN

Un perfil xestionado pola organización vén da xestión de dispositivos. O perfil leva os enderezos do servidor, a disposición de autenticación e a política que esixe a organización, e o administrador de VPN é a persoa que as fornece. Un script non debería reconstruír eses axustes a partir dun nome visible que atopou nunha lista.

Unha configuración de VPN persoal nativa créase mediante a API Network Extension de Apple, que cobre os protocolos IPsec e IKEv2 integrados. É unha interface de aplicación cun paso de gardado e unha aprobación do usuario, non un comando de shell que cree en silencio calquera tipo de túnel que distribúa un provedor.

Un cliente de terceiros é un terceiro caso co seu propio formato de importación, a súa propia ferramenta de xestión e moitas veces o seu propio asistente con privilexios. A súa sesión pertence ao proceso dese provedor. Atopar un servizo do sistema cun nome similar non é proba de que un comando do sistema controle o túnel, e asumilo produce scripts que parecen funcionar ata que o provedor actualiza o cliente.

O aprovisionamento nativo ten un gardado e unha aprobación

O modelo de Apple é cargar, modificar, gardar. Unha aplicación carga as preferencias existentes antes do seu primeiro gardado tras o arranque, cambia a configuración e despois gárdaa. O gardado informa dun erro cando non pode persistir, e ignorar ese resultado converte un fallo de aprovisionamento nun fallo de conexión tres pasos despois.

O primeiro gardado tamén esixe que o usuario aprobe a aplicación. É unha fronteira de seguridade deliberada, e significa que a primeira execución nun Mac novo é interactiva aínda que todas as conexións e desconexións posteriores poidan automatizarse. Planifica a primeira execución como unha tarefa humana cunha persoa presente. Automatiza a segunda execución en diante, e dío no runbook para que ninguén prometa o imposible. Un plan de despregamento que promete unha primeira execución totalmente desatendida promete algo que a plataforma non ofrece.

Apple tamén recomenda validar a compatibilidade do servidor cun perfil de configuración antes de confiar na API. Facer esa comprobación primeiro separa «o servidor non aceptará este cliente» de «o cliente nunca gardou os axustes», que son tíckets distintos para equipos distintos.

Que pode asumir un comando de inicio repetible

Tras o aprovisionamento, un script pode apuntar con seguridade á conexión existente mediante a interface do seu propietario. Dálle a identidade estable da conexión máis a acción que queres, e nada máis. Non debería ler unha ruta de preferencias adiviñada, nin asumir que o nome que mostra o menú é único en todo o sistema.

Para conexións nativas, unha petición de sesión con nome como scutil --nc start é unha operación de control. Non instala axustes do servidor, non importa credenciais nin realiza a autorización do primeiro gardado. Trátaa como o último paso dunha cadea, nunca como a cadea enteira.

Mantén os segredos fóra dos argumentos da liña de comandos e da saída de diagnóstico habitual. Calquera que sexa o mecanismo de identidade que escolla o despregamento, é no que debe apoiarse o comando de inicio, e un contrasinal pegado no historial do shell é un achado en calquera revisión.

Dúas comprobacións de aceptación

A primeira comprobación é o aprovisionamento: toma un Mac recentemente instalado e demostra que a configuración está presente, pertence ao xestor correcto e está plenamente aprobada. Fai isto antes de probar a conectividade, porque unha proba de conexión nunha máquina sen aprovisionar non demostra nada sobre o script.

A segunda comprobación é a sesión: conéctate, acada o recurso autorizado e desconéctate limpiamente. Agora cada fallo ten un responsable, e ese é o beneficio práctico de separar os dous traballos. Un perfil ausente é un problema de entrega, un erro de gardado é un problema de aprobación, un inicio de sesión rexeitado é un problema de autenticación, e un tempo de espera tras un inicio correcto é a capa de sesión. Ningún deles é «o script está roto».