ה-Mac אומר Cisco VPN: איזה מבין השלושה אתם באמת מריצים?
רשומת IPsec מקורית, Cisco VPN Client שהופסק ו-Secure Client כולם נקראים אותו דבר. זהו את הבעלים לפני יישום תיקונים ישנים.
מישהו אומר לכם שה-Cisco VPN שבור ב-Mac שלו, והביטוי הזה מכסה לפחות שלושה אובייקטים שונים. הוא יכול להתכוון לפרופיל המובנה ב-macOS, ליישום מעידן קודם, או ללקוח שהארגון שלכם פורס היום. לכל אחד יש מצבי כשל משלו, ותיקון שנכתב לאחד בדרך כלל לא רלוונטי לשניים האחרים.
לכן המשימה הראשונה אינה תיקון. היא זיהוי, והיא אורכת כדקה אם שואלים על הפרטים הנכונים.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
תווית מקורית אינה דרייבר Cisco מותקן
אפל מספקת סוג VPN בשם Cisco IPsec, והוא שימושי, אבל זו המימוש של אפל להסדר IPsec, לא היישום הישן של צד שלישי ולא מה שצוות האבטחה שלכם פורס במקום אחר. התווית אומרת איזה חלון הגדרות לפתוח וכלום על תמיכת הספק.
הטעות ההפוכה עולה יותר. הנחה שרשומה מקורית יכולה להחליף את Secure Client מדלגת על הרשמה, טיפול בתעודות, בדיקות מצב והמדיניות שהשער מצפה לה. פרופיל שהארגון דוחף אינו שווה ערך לחיבור שהוקלד ביד, גם כששניהם בסופו של דבר מקימים מנהרת IPsec. ההבדל הזה בלתי נראה בחלון ההגדרות וברור ביומנים של השער עצמו.
שאלו את בעל השער שלושה דברים: לקוח ה-Mac שהוא תומך בו, שם הפרופיל המדויק וגרסת הלקוח המינימלית. הוסיפו את גרסת ה-macOS שהמשתמש מריץ. שם מארח של שרת לבדו לא מתאר אף אחד מאלה, ולכן קריאות שמכילות רק שם מארח נוטות לחזור.
עצות ליבה ישנות שייכות לעשור שלהן
תוצאות חיפוש על בעיות VPN ב-Mac מלאות הוראות להחזיק מקשים בזמן האתחול, לאתחל בארכיטקטורת ליבה אחרת או להריץ עוזר ישן מהגנות שלמות המערכת הנוכחיות. השלבים האלה מגיעים משילובים ישנים ספציפיים של חומרת Mac ובנייה של לקוח. לחזור עליהם עכשיו אינו מעבר, ובגרסה נוכחית חלק מהם לא ניתן לבצע כלל.
יש גבול קשור שכדאי להכיר, כי מצטטים אותו בהקשר הלא נכון. אפל מתעדת שיישומי 32 סיביות הפסיקו להיות תואמים ל-macOS החל מ-Catalina 10.15, כך שלקוח כה ישן פשוט לא יכול לרוץ שם, ללא קשר לדרייברים או להרשאות. זהו גבול תאימות יישומים, לא בעיית מצב ליבה, וערבוב שני ההסברים מייצר עצות שלא עוזרות לאיש.
אם נותר זמין רק לקוח מיושן, התייחסו לפרופיל שלו כחומר מעבר רגיש ובקשו את התחליף המאושר. אל תשביתו הגנות מערכת, אל תתקינו דרייבר לא חתום ואל תשנו את שמו של קובץ עם הסיומת .pcf בתקווה שלקוח מודרני ייבא אותו: PCF שייך לפורמט של הלקוח הישן, Secure Client משתמש במנגנון הפרופילים שלו, והשניים אינם ניתנים להחלפה לפי סיומת.
הפרידו את הלקוח מהרשת
כשהלקוח הנתמך כבר מותקן ובדרך כלל עובד, השאלה המעניינת משתנה. האם הוא נכשל בכל מקום, או רק ברשת גישה אחת? לקוח שמתחבר מחיבור ביתי ונכשל בבית מלון מתאר נגישות, לא ארכיטקטורה, והתקנה מחדש של היישום לא תשנה את הסינון של בית המלון. נסו את אותו מחשב נייד ברשת שאתם סומכים עליה לפני שאתם נוגעים בהתקנה.
תעדו את הכשל לפני שמשנים משהו. היומן של הלקוח עצמו בדרך כלל נוקב בשלב שנכשל: בחירת פרופיל, אימות, הקמת מנהרה או מדיניות. השוו אותו לניסיון מוצלח מרשת אחרת על אותה מכונה, כי המשתנה שאתם בודקים הוא הרשת, והלקוח הוא הקבוע.
רשמו את התשובה לקריאה הבאה
לאחר שתדעו עם איזה מהשלושה אתם מתמודדים, רשמו אותו בקריאה יחד עם הגרסה המותקנת וגרסת ה-macOS. השורה האחת הזו מונעת מהמהנדס הבא להתחיל מאפס, ומאפשרת הסלמה לספק בלי סבב שאלות שני.
לאחר מכן בדקו את הדבר היחיד שהמשתמש באמת צריך: האם הלקוח הנוכחי יכול להגיע למשאב, ולא רק האם מחוון המנהרה הפך לירוק. לגבי גבול התאימות שחוזר שוב ושוב בשרשורים האלה, ההערה של אפל על סיום התמיכה ביישומי 32 סיביות עם macOS Catalina היא המקור שראוי לצטט במקום פולקלור.