Client VPN Azure su Mac: mettere i server DNS nel profilo

Su macOS tre domande diverse ricevono la stessa alzata di spalle. Quale client è questo? Da dove vengono i suoi server DNS? E una volta che l’impostazione è al suo posto, perché un nome breve continua a fallire? Hanno risposte separate, e solo la prima riguarda il file del profilo. L’ordine giusto trasforma un problema DNS vago in un passo verificabile alla volta.

Confermate quale client state configurando

Questo è il client VPN Azure di Microsoft, che usa OpenVPN per l’accesso da punto a sito. Il suo XML non è un profilo IKEv2 nativo di macOS e non è nemmeno un file di configurazione per qualsiasi client OpenVPN di terze parti.

Se il Mac si connette tramite la finestra di sistema integrata, siete nel documento sbagliato.

Il DNS vive dentro l’XML del profilo

Scaricate il profilo attuale per il gateway e il metodo di autenticazione previsti, poi conservate una copia non modificata prima di toccare qualsiasi cosa. Modificate solo la copia di lavoro e non incollate il suo materiale di autenticazione in un ticket di assistenza.

La guida alle impostazioni facoltative inserisce le voci DNS in un elemento clientconfig. Un frammento minimo ha questo aspetto, con un indirizzo che la vostra organizzazione esegue davvero.

<clientconfig>
    <dnsservers>
        <dnsserver>10.20.2.4</dnsserver>
    </dnsservers>
</clientconfig>

Quell’indirizzo è illustrativo, non un resolver fornito da Azure. Integrate le voci nella configurazione esistente invece di incollare un secondo elemento clientconfig, perché Microsoft dichiara che gli elementi duplicati non sono supportati su macOS. I profili generati possono anche contenere un segnaposto nil dove dovrebbe stare la configurazione reale, e aggiungere impostazioni accanto a un elemento nil non è una riparazione.

L’importazione è il cambiamento

Salvare il file non cambia nulla da solo. Aprite il client VPN Azure, scegliete Import, selezionate l’XML revisionato, compilate i campi richiesti e salvate la connessione.

Poi riconnettetevi tramite quella connessione importata. Un profilo che resta sul disco mentre una connessione più vecchia rimane attiva è il motivo più comune per cui una modifica corretta sembra non fare nulla.

Il limite del suffisso decide il primo test

Come documentato il 30 ottobre 2026, i valori di suffisso DNS aggiuntivi in questa configurazione non persistono correttamente su macOS. Copiare un esempio di suffisso Windows e promettere un comportamento identico è il modo in cui un resolver funzionante viene segnalato come guasto. Inserite i suffissi, salvate, riconnettetevi e verificate se sono sopravvissuti alla riconnessione. In caso contrario, pianificate con nomi completamente qualificati invece di combattere con il client.

Provate prima con un nome host privato completamente qualificato. Se il FQDN si risolve e il nome breve no, avete imparato qualcosa di preciso: il resolver è raggiungibile e manca l’espansione dei nomi brevi. È un difetto diverso da un server DNS irraggiungibile e richiede un altro responsabile.

Il resolver ha ancora bisogno di un percorso

Elencare un indirizzo nell’XML non crea un servizio DNS. L’indirizzo deve eseguire un resolver autorizzato in grado di rispondere o inoltrare lo spazio dei nomi privato, e il Mac deve essere autorizzato a raggiungerlo attraverso il tunnel. Se quel resolver si trova dietro una regola del firewall che non conosce l’intervallo del tunnel, le query scadono senza un errore utile. Il timeout allora somiglia esattamente a un indirizzo sbagliato, e le persone rimodificano l’XML per un’ora.

Ispezionate lo stato attivo del resolver del Mac connesso, poi interrogate direttamente quel server per isolare la sua risposta dalla scelta del resolver dell’applicazione. Un’interrogazione diretta dimostra che il server funziona. Non dimostra che le ricerche ordinarie lo selezionino.

Consegnate tre risultati separati

Teneteli separati nella consegna: il profilo revisionato è stato importato, il resolver previsto ha risposto al nome richiesto e l’applicazione ha raggiunto l’indirizzo restituito. Ognuno ha un responsabile e una correzione diversi.

Una riga per risultato basta, e impedisce alla persona successiva di rimodificare un profilo che era già corretto.