VPN პროფილი macOS-ზე არ იმპორტირდება: ჯერ დატვირთვა წაიკითხეთ

როცა პროფილი ერთ Mac-ზე უშუალოდ ინსტალირდება, მეორეზე კი უარყოფილია, ქსელამდე ჯერ არ მივსულვართ, ამიტომ სერტიფიკატებს, კარიბჭეებსა და პაროლებს ბრალი არ მიუძღვით. ინსტალატორი იმ დატვირთვაზე გაჩერდა, რომლის მიღებასაც არ აპირებდა, და ჩვეულებრივ აღრიცხავს, რომელზე. ამით პროფილის ფაილი და ყველაფერი, რაც ის შექმნა, სამუშაოდ ერთადერთ გონივრულ ადგილად რჩება, ხოლო კლიენტზე პარამეტრების წაშლა გადარჩენის ნაცვლად მტკიცებულებების განადგურების ხერხად იქცევა.

წაიკითხეთ პროფილი Mac-ის გადატვირთვის ნაცვლად

ექსპორტი გაუკეთეთ .mobileconfig-ს და ნახეთ, რას შეიცავს სინამდვილეში, სანამ კლიენტს შეეხებით:

plutil -p profile.mobileconfig | head -60

VPN პროფილი სინამდვილეში ორი დატვირთვაა სხვადასხვა დავალებით: com.apple.vpn.managed კავშირს ინახავს, com.apple.dnsSettings.managed კი გამხსნელის კონფიგურაციას. ინსტალაცია პირველ იმ დატვირთვაზე ჩერდება, რომელსაც ინსტალატორი უარყოფს, და უარყოფა სისტემურ ჟურნალში იმ დატვირთვის სახელით ხვდება, ამიტომ ჟურნალი გეუბნებათ, რომელი ნაწილი გახსნათ. შეინახეთ ბოლო წარმატებით იმპორტირებული პროფილის ასლი, რადგან ეს ფაილია ის საფუძველი, რომლის მიმართაც თქვენი სხვაობა იზომება.

რა დაამატა გენერატორმა ჩუმად

Apple Configurator 2.15-მა, 7A23 აწყობამ, გამოსცა შემდეგი ბლოკი თავის DNS დატვირთვაში:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

macOS 12.1-ზე ამ აწყობის მიერ დაწერილი პროფილები იმპორტისას უარყოფილ იქნა. Configurator 2.11.1-ით შექმნილი კავშირი უჩივლელად შევიდა, რადგან იმ გამოშვებას გასაღები საერთოდ არ დაუწერია. წაშალეთ მთელი DNS ლექსიკონი ან მხოლოდ პრობლემური გასაღები, ხელახლა შეინახეთ და შემდეგ სცადეთ იმავე მანქანაზე, სანამ სხვა რამეს შეცვლიდეთ. ჩვეულებრივ სწორედ ეს ერთი ცვლილებაა მთელი შეკეთება.

ინსტრუმენტს აქვს ხაფანგი, რომლის ცოდნაც ღირს მისდამი ნდობამდე. გასაღების წაშლის შემდეგ იმავე კავშირის შენახვა მას არ დააბრუნა, და ის კვლავ მხოლოდ მაშინ გამოჩნდა, როცა კავშირი ნულიდან შეიქმნა. მოეპყარით ყოველ ახლად შექმნილ პროფილს ეჭვის თვალით და შეამოწმეთ, განსაკუთრებით მაშინ, როცა კავშირების მთელი ჯგუფი ერთ სესიაში შეიქმნა.

MDM გზა სხვა ადგილას ვარდება

მართვის სერვისი, რომელიც იმავე პროფილს უგზავნის, სხვა წერტილში შეიძლება ჩავარდეს: კლიენტი ჩივის, რომ VPN სერვისი საერთოდ არ შექმნილა. მოხსენებულ შემთხვევაში სერტიფიკატით ავთენტიფიკაციისთვის გამართული დატვირთვა მაინც ითხოვდა პაროლის ველს; მისი შემავსებლით შევსებამ პროფილის გამოყენება დაუშვა, და არაფერს არასდროს გამოუყენებია ის მნიშვნელობა ავთენტიფიკაციისთვის.

თუ ამ გზას აირჩევთ, შეინახეთ ყალბი სტრიქონი და არასდროს ნამდვილი სამკუთხედები, ხოლო ნამდვილი საიდუმლო პროფილის სხეულის გარეთ შეინახეთ. მოქმედი პაროლის მქონე პროფილი ფაილად იქცევა, რომელიც გასაღების მსგავსად უნდა დაიცვათ, და ეს გაცილებით დიდი პრობლემაა, ვიდრე ის წარუმატებელი იმპორტი, რომლითაც დაიწყეთ. გადაწყვიტეთ, ვის ეკუთვნის ეს შემავსებელი, სანამ პროფილი გავრცელდება, რათა მოგვიანებით არავინ მიიჩნიოს ის ცვლად ღირებულების მნიშვნელობად. იმის დოკუმენტირება, თუ რატომ არსებობს, ერთ ხაზს იკავებს და ექვს თვეში ერთ კამათს ზოგავს.

დაადასტურეთ, რომ პროფილი ნამდვილად დაჯდა

წარმატებული იმპორტი მოქმედი სერვისი არ არის, ამიტომ შეამოწმეთ ამ რიგით:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

პირველი ბრძანება ინსტალირებულ დატვირთვებს ჩამოთვლის; მეორე ამბობს, საერთოდ არსებობს თუ არა VPN სერვისი. ბოლო, დაკავშირების შემდეგ გაშვებული, აჩვენებს გამხსნელს, რომელსაც სისტემა ნამდვილად გამოიყენებს. წაიკითხეთ ისინი ამ რიგით და გაჩერდით იქ, სადაც ჯაჭვი იწყვეტა, რადგან სერვისის არარსებობა გამხსნელზე ყოველ კითხვას უაზროს ხდის. პროფილი შეიძლება ინსტალირებულად იყოს ჩამოთვლილი და მაინც არ ფლობდეს არაფერ საჭირო ნივთს, და სწორედ ეს მდგომარეობაა გამოსავლენად განკუთვნილი ამ მიმდევრობისთვის.

თუ გვირაბი ამოვა მაშინ, როცა სერვისის ჩანაწერს ჯერ არ აქვს გამოსაყენებელი სახელი, ნაჩვენები სახელის ველი ექსპორტში დაიკარგა, და წამალი ხელახლა შექმნილი პროფილია და არა კლიენტზე სახელის შეცვლა. თუ გამხსნელი კვლავ ლოკალურზე მიუთითებს, DNS დატვირთვა უფრო ღრმადაა მოცილებული, ვიდრე განზრახული გქონდათ.

დანერგეთ ეტაპობრივად, ერთდროულად ერთი Mac

დააინსტალირეთ ერთ მართულ Mac-ზე, სადაც იგივე OS აწყობა მუშაობს, შემდეგ ცალ-ცალკე შეამოწმეთ სამი რამ: სერვისი ჩნდება, გამხსნელი იცვლება და ერთი ნამდვილი შიდა მოთხოვნა წარმატებით სრულდება. მხოლოდ სამივეს შემდეგ უნდა გაფართოვდეს არეალი.

ეს სამი განსხვავებული შედეგია, რომლებიც სამი სხვადასხვა გზით ვარდება, და სწორედ ამიტომ ღირს ერთი საცდელი მანქანა იმ ათი წუთის ხარჯვად. იმპორტირებადი პროფილი მოქმედი პროფილი არ არის, და პირველი ეტაპის მანქანა ორივე ტიპის წარუმატებლობას იჭერს მანამ, სანამ დანარჩენი ფლოტი ერთ-ერთს მაინც დაინახავს.