VPN профили macOS'то импорттолбойт: адегенде жүктөмдү окуңуз

Профиль бир Mac'та тоскоолдуксуз орнотулуп, экинчисинде четке кагылса, тармакка али жеткен жокпуз, ошондуктан сертификаттар, шлюздар жана сырсөздөр күнөөлүү эмес. Орнотуучу кабыл албаган жүктөмдө токтоду жана адатта кайсы экенин жазып коёт. Ошентип профиль файлы жана аны жараткандын баары иштөө үчүн жалгыз акылга сыярлык жер бойдон калат, ал эми клиенттеги жөндөөлөрдү өчүрүү оңдоонун ордуна далилдерди жок кылуу ыкмасына айланат.

Mac'ты кайра орнотуунун ордуна профилди окуңуз

.mobileconfig экспорттоп, клиентке тийүүдөн мурун анын ичинде эмне бар экенин караңыз:

plutil -p profile.mobileconfig | head -60

VPN профили чындыгында эки башка иш аткарган эки жүктөм: com.apple.vpn.managed байланышты кармайт, com.apple.dnsSettings.managed чечүүчүнүн конфигурациясын кармайт. Орнотуу орнотуучу четке каккан биринчи жүктөмдө токтойт, ал эми четке кагуу ошол жүктөмдүн аты менен системалык журналга түшөт, ошондуктан кайсы бөлүмдү ачууну журнал айтат. Акыркы ийгиликтүү импорттолгон профилдин көчүрмөсүн сактаңыз, анткени ошол файл айырмачылыгыңыз өлчөнүүчү негиз.

Генератор үнсүз эмнени кошту

Apple Configurator 2.15, 7A23 курулушу өзүнүн DNS жүктөмүнүн ичинде төмөнкү блокту чыгарды:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

macOS 12.1'де ошол курулуш жазган профилдер импорттоодо четке кагылды. Configurator 2.11.1 менен жасалган байланыш эч кандай нааразылыксыз өттү, анткени ал чыгарылыш ачкычты такыр жазган эмес. Бүтүндөй DNS сөздүгүн же болгону көйгөйлүү ачкычты алып салыңыз, кайра сактаңыз, анан башка нерсени өзгөртүүдөн мурун ошол эле машинада кайра аракет кылыңыз. Адатта ошол бир оңдоо бүтүндөй оңдоо болот.

Куралдын ага ишенүүдөн мурун билүүгө татыктуу тузагы бар. Ачкыч өчүрүлгөндөн кийин ошол эле байланышты сактоо аны кайтарган жок, ал байланыш нөлдөн түзүлгөндө гана кайра пайда болду. Ар бир жаңы жаралган профилди шектүү деп карап текшериңиз, айрыкча байланыштардын бүтүндөй тобу бир отурумда түзүлгөн болсо.

MDM жолу башка жерде ишке ашпайт

Ошол эле профилди түрткөн башкаруу кызматы башка жерде ишке ашпашы мүмкүн: клиент VPN кызматы такыр түзүлгөн эмес деп даттанат. Билдирилген учурда сертификат менен аутентификациялоо үчүн конфигурацияланган жүктөм ошентсе да сырсөз талаасын талап кылды; аны орун басар менен толтуруу профилдин колдонулушуна жол берди, бирок эч нерсе ал маанини аутентификациялоо үчүн колдонгон эмес.

Эгер ошол жолду тандасаңыз, жасалма сап сактаңыз, чыныгы ыйгарым укуктарды эч качан сактабаңыз жана чыныгы сырды профилдин денесинен тышкары кармаңыз. Иштеген сырсөзү бар профиль ачкыч сыяктуу корголушу керек файлга айланат, ал эми бул сиз баштаган ийгиликсиз импорттон алда канча чоң маселе. Профиль таратылардан мурун ошол орун басар кимге таандык экенин чечиңиз, ошондо кийин эч ким аны алмаштырууга татыктуу маани деп жаңылышпайт. Анын эмне үчүн бар экенин документтештирүү бир сапты алат жана алты айдан кийин бир талашты үнөмдөйт.

Профилдин чындап орношуна ынаныңыз

Ийгиликтүү импорт — иштеген кызмат эмес, ошондуктан бул тартипте текшериңиз:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Биринчи буйрук орнотулган жүктөмдөрдү тизмелейт; экинчиси VPN кызматы барбы-жокпу айтат. Акыркысы, туташкандан кийин иштетилген, система чындап колдоно турган чечүүчүнү көрсөтөт. Аларды ошол тартипте окуп, чынжыр үзүлгөн жерде токтоңуз, анткени кызмат жок болсо чечүүчү жөнүндөгү ар кандай суроо маанисиз болот. Профиль орнотулган деп тизмеленип, ошентсе да пайдалуу эч нерсеге ээ болбошу мүмкүн, жана дал ушул абалды ашкере кылуу үчүн бул ырааттуулук түзүлгөн.

Кызмат жазуусунун али колдонууга жарактуу аты жок кезде туннель көтөрүлсө, көрсөтүлүүчү ат талаасы экспортто жоголгон, ал эми дары клиентте атты өзгөртүү эмес, профилди кайра жаратуу. Чечүүчү дагы эле жергиликтүүгө шилтесе, DNS жүктөмү ниет кылганыңыздан тереңирээк алынган.

Жайылтууну этап-этабы менен жүргүзүңүз, бир убакта бир Mac

Бир башкарылуучу Mac'ка ошол эле ОС курулушу менен орнотуңуз, анан үч нерсени өз-өзүнчө текшериңиз: кызмат пайда болот, чечүүчү өзгөрөт жана бир чыныгы ички сурам ийгиликтүү болот. Үчөө тең аткарылгандан кийин гана чөйрөнү кеңейтүү керек.

Булар — үч башка жол менен ишке ашпаган үч башка жыйынтык, ошондуктан бир сыноо машинасы ошол он мүнөткө татыктуу. Импорттолгон профиль — иштеген профиль эмес, ал эми биринчи этаптын машинасы эки бузулуу түрүн тең калган флот көрө электе эле кармайт.