Il Mac dice Cisco VPN: quale dei tre stai usando davvero?
Una voce IPsec nativa, il Cisco VPN Client dismesso e Secure Client vengono chiamati tutti allo stesso modo. Identifica il proprietario prima di applicare vecchie correzioni.
Qualcuno ti dice che il Cisco VPN è rotto sul suo Mac, e quella frase copre almeno tre oggetti diversi. Può significare un profilo integrato in macOS, un'applicazione di un'epoca precedente o il client che la tua organizzazione distribuisce oggi. Ognuno ha i propri modi di guastarsi, e una correzione scritta per uno di solito è irrilevante per gli altri due.
Quindi il primo lavoro non è una correzione. È un'identificazione, e richiede circa un minuto se chiedi i dettagli giusti.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
Un'etichetta nativa non è un driver Cisco installato
Apple fornisce un tipo di VPN chiamato Cisco IPsec, ed è utile, ma è l'implementazione di Apple di un assetto IPsec, non la vecchia applicazione di terze parti né ciò che il tuo team di sicurezza distribuisce altrove. L'etichetta ti dice quale pannello di configurazione aprire e nulla sul supporto del fornitore.
L'errore opposto costa di più. Supporre che una voce nativa possa sostituire Secure Client salta l'arruolamento, la gestione dei certificati, i controlli di postura e la policy che il gateway si aspetta. Un profilo inviato dall'organizzazione non equivale a una connessione digitata a mano, anche quando entrambi finiscono per stabilire un tunnel IPsec. Quella differenza è invisibile nel pannello delle impostazioni e ovvia nei log del gateway stesso.
Chiedi al proprietario del gateway tre cose: il client Mac che supporta, il nome esatto del profilo e la versione minima del client. Aggiungi la versione di macOS che l'utente esegue. Un nome host del server da solo non descrive nulla di tutto ciò, ed è per questo che i ticket che contengono solo un nome host tendono a tornare indietro.
I vecchi consigli sul kernel appartengono al loro decennio
I risultati di ricerca sui problemi VPN su Mac sono pieni di istruzioni per tenere premuti tasti all'avvio, avviare un'architettura kernel diversa o eseguire un helper più vecchio delle attuali protezioni di integrità del sistema. Quei passaggi provengono da specifiche vecchie combinazioni di hardware Mac e build del client. Ripeterli ora non è una migrazione, e su una versione attuale alcuni non possono essere eseguiti affatto.
C'è un limite correlato che vale la pena conoscere, perché viene citato nel contesto sbagliato. Apple documenta che le applicazioni a 32 bit hanno smesso di essere compatibili con macOS a partire da Catalina 10.15, quindi un client così vecchio semplicemente non può funzionare lì, indipendentemente dai driver o dai permessi. È un limite di compatibilità delle applicazioni, non un problema di modalità kernel, e mescolare le due spiegazioni produce consigli che non aiutano nessuno.
Se resta disponibile solo un client obsoleto, tratta il suo profilo come materiale di migrazione sensibile e chiedi la sostituzione approvata. Non disattivare le protezioni di sistema, non installare un driver non firmato e non rinominare un file con l'estensione .pcf sperando che un client moderno lo importi: un PCF appartiene al formato del vecchio client, Secure Client usa il proprio meccanismo di profili, e i due non sono intercambiabili per estensione.
Separa il client dalla rete
Quando il client supportato è già installato e funziona in generale, la domanda interessante cambia. Fallisce ovunque o solo su una rete di accesso? Un client che si connette da una connessione domestica e fallisce in un hotel descrive la raggiungibilità, non l'architettura, e reinstallare l'applicazione non cambierà il filtraggio dell'hotel. Prova lo stesso portatile su una rete fidata prima di toccare l'installazione.
Cattura il guasto prima di cambiare qualsiasi cosa. Il log del client stesso di solito nomina la fase fallita: selezione del profilo, autenticazione, instaurazione del tunnel o policy. Confrontalo con un tentativo riuscito da un'altra rete sulla stessa macchina, perché la variabile che stai testando è la rete, e il client è la costante.
Annota la risposta per il prossimo ticket
Una volta che sai quale dei tre stai affrontando, registralo nel ticket insieme alla versione installata e alla versione di macOS. Quella singola riga impedisce al prossimo tecnico di ricominciare da zero e rende possibile un'escalation al fornitore senza un secondo giro di domande.
Poi verifica l'unica cosa di cui l'utente ha davvero bisogno: se il client attuale riesce a raggiungere la risorsa, e non solo se l'indicatore del tunnel è diventato verde. Per il limite di compatibilità che continua a emergere in questi thread, la nota di Apple sulla fine del supporto alle applicazioni a 32 bit con macOS Catalina è il riferimento che vale la pena citare invece del folklore.