Mac が Cisco VPN と言うとき、実際に動いているのはどれか
ネイティブの IPsec エントリ、提供終了した Cisco VPN Client、Secure Client はすべて同じ名前で呼ばれます。古い修正を当てる前に、所有者を特定してください。
誰かが「Mac で Cisco VPN が壊れた」と言うとき、その言葉は少なくとも三つの別のものを指しています。macOS に組み込まれたプロファイル、前の時代のアプリケーション、あるいは組織が今日配布しているクライアントかもしれません。それぞれ失敗の仕方が異なり、一方のために書かれた修正は通常、残り二つには無関係です。
つまり最初の仕事は修正ではありません。特定であり、正しい情報を尋ねれば一分ほどで終わります。
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
ネイティブのラベルはインストールされた Cisco ドライバではない
Apple は Cisco IPsec という名前の VPN タイプを提供しており、それは有用ですが、Apple による IPsec 構成の実装であって、旧来のサードパーティ製アプリでも、セキュリティチームが別の場所で配布しているものでもありません。ラベルはどの設定パネルを開くかを示すだけで、ベンダーのサポートについては何も示しません。
逆の間違いはより高くつきます。ネイティブのエントリが Secure Client を置き換えられると仮定すると、登録、証明書の扱い、ポスチャチェック、ゲートウェイが期待するポリシーを飛ばしてしまいます。組織が配布したプロファイルは、どちらも最終的に IPsec トンネルを確立するとしても、手入力された接続と同等ではありません。その違いは設定パネルでは見えず、ゲートウェイ自身のログでは明らかです。
ゲートウェイの所有者に、サポートしている Mac クライアント、正確なプロファイル名、最小クライアントリリースの三つを尋ねてください。さらに利用者が実行している macOS のバージョンを加えます。サーバーのホスト名だけではそのどれも説明できず、だからこそホスト名だけのチケットは差し戻されがちです。
古いカーネルの助言はその時代のもの
Mac の VPN 問題の検索結果は、起動中にキーを押し続ける、別のカーネルアーキテクチャで起動する、現在のシステム整合性保護より古いヘルパーを実行する、といった指示で溢れています。それらの手順は、特定の古い Mac ハードウェアとクライアントビルドの組み合わせに由来します。今それを繰り返すのは移行ではなく、現行リリースでは実行すらできないものもあります。
関連する境界が一つあり、間違った文脈で引用されるため知っておく価値があります。Apple は、32 ビットアプリが Catalina 10.15 以降 macOS と互換でなくなったと文書化しており、そんなに古いクライアントはドライバや権限に関係なくそこで動きません。これはアプリの互換性の区切りであり、カーネルモードの問題ではなく、二つの説明を混ぜると誰の役にも立たない助言になります。
廃止されたクライアントしか残っていない場合は、そのプロファイルを機密性の高い移行資料として扱い、承認された代替を求めてください。システム保護を無効にしたり、署名のないドライバを入れたり、最新のクライアントが読み込むことを期待して .pcf 拡張子のファイル名を変えたりしないでください：PCF は旧クライアントの形式に属し、Secure Client は独自のプロファイル機構を使い、両者は拡張子では互換ではありません。
クライアントとネットワークを切り分ける
サポート対象のクライアントがすでにインストールされ、おおむね動作している場合、興味深い問いは変わります。どこでも失敗するのか、それとも一つのアクセスネットワークだけで失敗するのか。自宅回線では接続できてホテルで失敗するクライアントは、到達性を語っているのであってアーキテクチャではなく、アプリを再インストールしてもホテルのフィルタリングは変わりません。インストールに触れる前に、信頼できるネットワークで同じノート PC を試してください。
何かを変える前に失敗を記録します。クライアント自身のログは通常、プロファイル選択、認証、トンネル確立、ポリシーのうち失敗した段階を示します。テストしている変数はネットワークでクライアントは定数なので、同じマシンで別のネットワークからの成功した試行と比較してください。
次のチケットのために答えを書き残す
三つのどれを扱っているか分かったら、インストール済みバージョンと macOS のリリースとともにチケットに記録します。その一行が次のエンジニアのやり直しを防ぎ、二回目の質問をせずにベンダーへのエスカレーションを可能にします。
次に確認すべきは、利用者が本当に必要としている一点、つまり現在のクライアントがリソースに到達できるかどうかであり、単に トンネル表示が緑になったか ではありません。これらのスレッドで繰り返し出てくる互換性の境界については、macOS Catalina での 32 ビットアプリのサポート終了に関する Apple の注記が、俗説の代わりに引用する価値のある参照先です。