A VPN-profil nem importálható macOS-en: előbb olvassa el a hasznos terhet

Az egyik Macen elutasított, a másikon elfogadott profil általában hasznos teher probléma. Hasonlítsa össze az XML-t, nézze meg mit tett hozzá a generátor, majd ellenőrizze a szolgáltatást.

Amikor egy profil az egyik Macen tisztán települ, a másikon pedig elutasítják, a hálózatot még el sem értük, így a tanúsítványok, átjárók és jelszavak nem érdemelnek hibáztatást. A telepítő egy olyan hasznos tehernél állt meg, amelyet nem volt hajlandó elfogadni, és általában feljegyzi, melyiknél. Így a profilfájl és minden, ami létrehozta, marad az egyetlen értelmes munkaterület, a kliensen a beállítások törlése pedig a bizonyítékok megsemmisítésének módja lesz a javítás helyett.

Olvassa el a profilt ahelyett, hogy visszaállítaná a Macet

Exportálja a .mobileconfig fájlt, és nézze meg, mit tartalmaz valójában, mielőtt hozzányúl a klienshez:

plutil -p profile.mobileconfig | head -60

Egy VPN-profil valójában két, eltérő feladatot ellátó hasznos teher: a com.apple.vpn.managed tartalmazza a kapcsolatot, a com.apple.dnsSettings.managed pedig a feloldó konfigurációját. A telepítés az első olyan hasznos tehernél áll meg, amelyet a telepítő elutasít, és az elutasítás a rendszernaplóba kerül az adott teher nevével, tehát a napló mondja meg, melyik szakaszt nyissa meg. Őrizzen meg egy másolatot az utolsó sikeresen importált profilról, mert az a fájl az alap, amelyhez a különbségét mérik.

Mit tett hozzá a generátor csendben

Az Apple Configurator 2.15, 7A23-as buildje a következő blokkot bocsátotta ki a DNS hasznos terhében:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

A macOS 12.1-en az ezzel a builddel írt profilokat importáláskor elutasították. A Configurator 2.11.1-gyel készült kapcsolat panasz nélkül bement, mert az a kiadás egyáltalán nem írta a kulcsot. Távolítsa el a teljes DNS-szótárat vagy csak a hibás kulcsot, mentse el újra, majd próbálja újra ugyanazon a gépen, mielőtt bármi mást módosítana. Általában ez az egyetlen módosítás a teljes javítás.

Az eszköznek van egy csapdája, amelyet érdemes ismerni, mielőtt megbízik benne. A kulcs törlése után ugyanazon kapcsolat mentése nem tette vissza, és csak akkor jelent meg újra, amikor a kapcsolatot a nulláról hozták létre. Kezeljen minden frissen generált profilt gyanúsnak, és vizsgálja meg, különösen ha egy egész köteg kapcsolat készült egy ülésben.

Az MDM-útvonal máshol hibázik

Egy felügyeleti szolgáltatás, amely ugyanazt a profilt tolja, más ponton hibázhat: a kliens azt panaszolja, hogy egyáltalán nem jött létre VPN-szolgáltatás. A bejelentett esetben a tanúsítványos hitelesítésre beállított hasznos teher mégis jelszómezőt követelt; egy helyőrzővel való kitöltése engedte a profil érvényesülését, és soha semmi nem használta ezt az értéket hitelesítésre.

Ha ezt az utat választja, tároljon egy ál-karakterláncot és soha éles hitelesítő adatot, és tartsa a valódi titkot a profil testén kívül. Egy működő jelszót hordozó profil olyan fájllá válik, amelyet kulcsként kell védeni, és ez jóval nagyobb probléma, mint a sikertelen import, amellyel elkezdte. Döntse el, kié az a helyőrző, mielőtt a profilt szétosztják, hogy később senki ne tartsa forgatásra érdemes értéknek. Egy sorba kerül dokumentálni, miért létezik, és fél év múlva megspórol egy vitát.

Erősítse meg, hogy a profil tényleg megérkezett

A sikeres import nem működő szolgáltatás, ezért ebben a sorrendben ellenőrizze:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Az első parancs felsorolja a telepített hasznos terheket; a második megmondja, létezik-e egyáltalán VPN-szolgáltatás. Az utolsó, csatlakozás után futtatva, megmutatja a feloldót, amelyet a rendszer valóban használni fog. Olvassa ebben a sorrendben, és álljon meg ott, ahol a lánc elszakad, mert egy hiányzó szolgáltatás minden feloldóra vonatkozó kérdést értelmetlenné tesz. Egy profil szerepelhet telepítettként, és mégsem birtokolhat semmi használhatót, és pontosan ezt az állapotot hivatott feltárni ez a sorozat.

Ha az alagút feljön, miközben egy szolgáltatásbejegyzésnek még nincs használható neve, a megjelenített név mezője elveszett az exportálásnál, és a gyógyír egy újragenerált profil, nem pedig az átnevezés a kliensen. Ha a feloldó továbbra is a helyire mutat, a DNS hasznos terhet a szándékoltál alaposabban eltávolították.

Fokozatosan vezesse be, egyszerre egy Macet

Telepítse egy felügyelt Macre, amely ugyanazt az operációs rendszer buildet futtatja, majd ellenőrizzen három dolgot külön: megjelenik a szolgáltatás, megváltozik a feloldó, és egyetlen valódi belső kérés sikerül. Csak mindhárom után szabad szélesíteni a hatókört.

Ez három különböző eredmény, amelyek három különböző módon hibáznak, és ez teszi egyetlen tesztgépet is megérővé a tíz percet. Az importálható profil nem működő profil, és az első szakasz gépe mindkét hibatípust elkapja, mielőtt a flotta többi része bármelyiket látná.

Kapcsolódó cikkek