VPN profil se ne uvozi na macOS-u: prvo pročitajte payload

Profil koji se odbije na jednom Macu, a prihvati na drugom, obično je problem s payloadom. Uporedite XML, provjerite što je generator dodao, pa provjerite uslugu.

Kada se profil čisto instalira na jednom Macu, a na drugom bude odbijen, mreža još nije dosegnuta, pa certifikati, pristupnici i lozinke ne zaslužuju krivnju. Instalater se zaustavio na payloadu koji nije htio prihvatiti i obično zapiše o kojem se radi. Zbog toga ostaju datoteka profila i sve što ju je generiralo kao jedina razumna mjesta za rad, a brisanje postavki na klijentu postaje način uništavanja dokaza, a ne popravak.

Pročitajte profil umjesto da resetirate Mac

Izvezite .mobileconfig i pogledajte što stvarno nosi prije nego što dirnete klijenta:

plutil -p profile.mobileconfig | head -60

VPN profil su zapravo dva payloada s različitim zadaćama: com.apple.vpn.managed drži vezu, a com.apple.dnsSettings.managed drži konfiguraciju razrješivača. Instalacija se zaustavlja na prvom payloadu koji instalater odbije, a odbijanje završi u sistemskom dnevniku s imenom tog payloada, pa vam dnevnik kaže koji odjeljak otvoriti. Sačuvajte kopiju posljednjeg profila koji se ipak uvezao, jer je ta datoteka osnova prema kojoj se mjeri vaša razlika.

Što je generator tiho dodao

Apple Configurator 2.15, verzija 7A23, ispisao je sljedeći blok unutar svog DNS payloada:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

Na macOS-u 12.1 profili koje je napisala ta verzija bili su odbijeni pri uvozu. Veza napravljena s Configuratorom 2.11.1 prošla je bez pritužbe, jer to izdanje uopće nije zapisivalo ključ. Uklonite cijeli DNS rječnik ili samo sporni ključ, ponovno spremite, pa pokušajte na istom stroju prije nego što promijenite bilo što drugo. Ta jedna izmjena obično je cijeli popravak.

Alat ima zamku koju vrijedi znati prije nego mu povjerujete. Nakon što je ključ izbrisan, spremanje iste veze nije ga vratilo i ponovno se pojavio samo kad je veza stvorena od nule. Svaki svježe generirani profil smatrajte sumnjivim i pregledajte ga, posebno kad je cijela serija veza napravljena u jednom zasjedanju.

MDM put zakaže negdje drugdje

Upravljačka usluga koja gura isti profil može zakazati na drugom mjestu: klijent se žali da VPN usluga uopće nije stvorena. U prijavljenom slučaju payload je bio konfiguriran za autentifikaciju certifikatom, ali je ipak tražio polje za lozinku; popunjavanje zamjenskom vrijednošću omogućilo je primjenu profila, a ništa nikad nije upotrijebilo tu vrijednost za autentifikaciju.

Ako krenete tim putem, spremite lažni niz i nikada stvarnu vjerodajnicu, a pravu tajnu držite izvan tijela profila. Profil s radnom lozinkom postaje datoteka koju treba štititi kao ključ, a to je znatno veći problem od neuspjelog uvoza s kojim ste počeli. Odredite kome pripada ta zamjenska vrijednost prije nego što se profil podijeli, da je kasnije nitko ne shvati kao vrijednost koju treba rotirati. Dokumentiranje zašto postoji traje jedan redak i štedi svađu za šest mjeseci.

Potvrdite da je profil doista sletio

Uspješan uvoz nije radna usluga, zato provjerite ovim redom:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Prva naredba ispisuje instalirane payloade; druga kaže postoji li VPN usluga uopće. Posljednja, pokrenuta nakon povezivanja, pokazuje razrješivač koji će sustav stvarno koristiti. Čitajte ih tim redom i zaustavite se gdje se lanac prekida, jer usluga koja nedostaje čini svako pitanje o razrješivaču besmislenim. Profil može biti naveden kao instaliran, a ipak ne posjedovati ništa upotrebljivo, i upravo je to stanje ovaj slijed namijenjen otkrivanju.

Ako se tunel podigne dok unos usluge još nema upotrebljivo ime, polje prikazanog imena izgubljeno je pri izvozu, a lijek je ponovno generiran profil, a ne preimenovanje na klijentu. Ako razrješivač i dalje pokazuje na lokalni, DNS payload je uklonjen temeljitije nego što ste htjeli.

Uvedite u fazama, jedan Mac po jedan

Instalirajte na jednom upravljanom Macu s istom verzijom OS-a, pa provjerite tri stvari odvojeno: usluga se pojavljuje, razrješivač se mijenja i jedan stvarni interni zahtjev uspijeva. Tek nakon sve tri treba proširiti opseg.

To su tri različita rezultata koji zakažu na tri različita načina, i zato jedan testni stroj vrijedi onih deset minuta. Profil koji se uveze nije profil koji radi, a stroj prve faze uhvati obje vrste kvara prije nego što ih ostatak flote uopće vidi.

Povezani članci