VPN профилі macOS-та импортталмайды: алдымен жүктемені оқыңыз

Бір Mac-та қабылданбай, екіншісінде қабылданатын профиль әдетте жүктеме мәселесі. XML-ді салыстырыңыз, генератордың не қосқанын тексеріңіз, содан кейін қызметті растаңыз.

Профиль бір Mac-та кедергісіз орнап, екіншісінде қабылданбаса, желіге әлі жетпегенбіз, сондықтан сертификаттар, шлюздер мен құпия сөздерді кінәлауға болмайды. Орнатушы қабылдағысы келмеген жүктемеде тоқтады және әдетте қайсысы екенін жазып қояды. Осылайша профиль файлы мен оны жасағанның бәрі жұмыс істеуге болатын жалғыз орын болып қалады, ал клиенттегі параметрлерді жою жөндеу емес, дәлелді жою әдісіне айналады.

Mac-ты қалпына келтірудің орнына профильді оқыңыз

.mobileconfig экспорттап, клиентке тиіспес бұрын оның шын мәнінде не ұстайтынын қараңыз:

plutil -p profile.mobileconfig | head -60

VPN профилі шын мәнінде екі түрлі жұмыс атқаратын екі жүктеме: com.apple.vpn.managed қосылымды ұстайды, com.apple.dnsSettings.managed шешуші конфигурациясын ұстайды. Орнату орнатушы қабылдамайтын бірінші жүктемеде тоқтайды, ал бас тарту сол жүктеменің атымен жүйелік журналға түседі, сондықтан қай бөлімді ашу керегін журнал айтады. Соңғы сәтті импортталған профильдің көшірмесін сақтаңыз, өйткені сол файл айырмашылығыңыз өлшенетін негіз.

Генератор үнсіз не қосты

Apple Configurator 2.15, 7A23 құрастырылымы, өзінің DNS жүктемесінің ішінде мына блокты шығарды:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

macOS 12.1-де сол құрастырылым жазған профильдер импорттау кезінде қабылданбады. Configurator 2.11.1-мен жасалған қосылым еш шағымсыз өтті, өйткені ол нұсқа кілтті мүлдем жазбаған. Бүкіл DNS сөздігін немесе тек мәселелі кілтті жойып, қайта сақтаңыз, содан кейін басқа ештеңе өзгертпес бұрын сол машинада қайталап көріңіз. Әдетте сол бір түзету бүкіл жөндеу болады.

Құралда оған сенбес бұрын білген жөн тұзақ бар. Кілт жойылғаннан кейін сол қосылымды сақтау оны қайтармады және ол қосылым нөлден жасалғанда ғана қайта пайда болды. Әр жаңа жасалған профильді күдікті деп қарап, тексеріп шығыңыз, әсіресе қосылымдардың бүкіл топтамасы бір отырыста жасалған болса.

MDM жолы басқа жерде сәтсіздікке ұшырайды

Сол профильді итеретін басқару қызметі басқа жерде сәтсіздікке ұшырауы мүмкін: клиент ешқандай VPN қызметі жасалмағанына шағымданады. Хабарланған жағдайда сертификатпен аутентификациялауға конфигурацияланған жүктеме соған қарамастан құпия сөз өрісін талап етті; оны орынбасармен толтыру профильдің қолданылуына мүмкіндік берді және ешнәрсе ол мәнді аутентификациялауға пайдаланбады.

Осы жолды таңдасаңыз, жалған жол сақтап, ешқашан нақты тіркелгі деректерін сақтамаңыз және нақты құпияны профиль денесінің сыртында ұстаңыз. Жұмыс істейтін құпия сөзі бар профиль кілт сияқты қорғалуы тиіс файлға айналады, ал бұл сіз бастаған сәтсіз импорттан әлдеқайда үлкен мәселе. Профиль таратылмас бұрын сол орынбасардың кімге тиесілі екенін шешіңіз, сонда кейін оны ауыстыруға тұрарлық мән деп ешкім қате ұқпайды. Оның не үшін бар екенін құжаттау бір жол алады және алты айдан кейін бір даудан құтқарады.

Профильдің шынымен орныққанын растаңыз

Сәтті импорт — жұмыс істейтін қызмет емес, сондықтан мына ретпен тексеріңіз:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Бірінші пәрмен орнатылған жүктемелерді тізімдейді; екіншісі VPN қызметінің бар-жоғын айтады. Соңғысы қосылғаннан кейін іске қосылып, жүйе шын мәнінде қолданатын шешушіні көрсетеді. Оларды осы ретпен оқып, тізбек үзілген жерде тоқтаңыз, өйткені қызмет жоқ болса шешуші туралы кез келген сұрақ мағынасыз болады. Профиль орнатылған деп тізімделіп, соған қарамастан пайдалы ештеңесі болмауы мүмкін, дәл осы күйді әшкерелеу үшін осы реттілік жасалған.

Қызмет жазбасының әлі жарамды аты жоқ кезде туннель көтерілсе, көрсетілетін атау өрісі экспортта жоғалған, ал емі клиентте атын өзгерту емес, профильді қайта жасау. Шешуші әлі де жергіліктіге нұсқаса, DNS жүктемесі көздегеніңізден тереңірек жойылған.

Шығарылымды кезең-кезеңімен жүргізіңіз, бір уақытта бір Mac

Бір басқарылатын Mac-та сол ОЖ құрастырылымымен орнатыңыз, содан кейін үш нәрсені бөлек тексеріңіз: қызмет пайда болады, шешуші өзгереді және бір нақты ішкі сұраныс сәтті болады. Үшеуінен кейін ғана ауқымды кеңейту керек.

Бұл — үш түрлі жолмен сәтсіздікке ұшырайтын үш түрлі нәтиже, сондықтан бір сынақ машинасы сол он минутқа тұрарлық. Импортталатын профиль — жұмыс істейтін профиль емес, ал бірінші кезең машинасы екі ақау түрін де қалған флот көрмей тұрып ұстап алады.

Қатысты мақалалар