De VPN-Profil gëtt op macOS net importéiert: liest fir d’éischt d’Payload

E Profil, deen op engem Mac ofgeleent a op engem aneren akzeptéiert gëtt, ass meeschtens e Payload-Problem. Vergläicht den XML, kuckt wat de Generateur derbäi gesat huet, a prüft duerno de Service.

Wann e Profil op engem Mac propper installéiert a op engem aneren ofgeleent gëtt, ass d’Netz nach net erreecht, also verdéngen Zertifikater, Gateways a Passwierder keng Schold. Den Installateur ass bei enger Payload sto gelooss, déi en net wollt akzeptéieren, an en registréiert normalerweis wéi eng. Dat léisst d’Profilsdatei an alles, wat se generéiert huet, als déi eenzeg sënnvoll Aarbechtsplazen, an d’Läschen vun den Astellungen um Client gëtt eng Manéier, d’Beweiser ze zerstéieren amplaz eng Reparatur.

Liest de Profil amplaz den Mac ze resetéieren

Exportéiert d’.mobileconfig a kuckt, wat se wierklech dréit, ier Dir de Client beréiert:

plutil -p profile.mobileconfig | head -60

E VPN-Profil sinn eigentlech zwee Payloaden mat verschiddenen Aufgaben: com.apple.vpn.managed hält d’Verbindung, an com.apple.dnsSettings.managed hält d’Konfiguratioun vum Resolver. D’Installatioun hält bei der éischter Payload un, déi den Installateur ofleent, an d’Oflehnung kënnt mat dem Numm vun där Payload an de Systemlog, also seet de Log Iech, wéi eng Sektioun Dir opmaache sollt. Haalt eng Kopie vum leschte Profil, deen awer importéiert gouf, well där Datei ass d’Basis, géint déi Ären Ënnerscheed gemooss gëtt.

Wat de Generateur stëll derbäi gesat huet

Apple Configurator 2.15, Build 7A23, huet folgende Block an senger DNS-Payload ausginn:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

Op macOS 12.1 goufen d’Profiler, déi vun deem Build geschriwwe goufen, beim Import ofgeleent. Eng Verbindung, déi mat Configurator 2.11.1 gemaach gouf, ass ouni Plainte erakomm, well déi Versioun de Schlëssel iwwerhaapt net geschriwwen huet. Huelt den ganzen DNS-Wierderbuch oder just de problematesche Schlëssel ewech, späichert en nach eng Kéier, a probéiert duerno op der selwechter Maschinn, ier Dir eppes anescht ännert. Meeschtens ass déi eng Ännerung déi ganz Reparatur.

D’Instrument huet eng Fal, déi et sech lount ze kennen, ier Dir et vertraut. Nodeems de Schlëssel geläscht war, huet d’Späichere vun der selwechter Verbindung en net zeréckgesat, an en ass eréischt erëm opgetrueden, wéi eng Verbindung vun Null un opgebaut gouf. Behandelt all frësch generéierte Profil als verdächteg an iwwerpréift en, besonnesch wann eng ganz Charge Verbindungen an enger Sëtzung gemaach gouf.

Den MDM-Wee scheitert eng aner Plaz

E Management-Service, deen deeselwechte Profil dréckt, kann an enger anerer Plaz scheiteren: de Client beschwéiert sech, dass iwwerhaapt kee VPN-Service opgebaut gouf. Am gemellte Fall huet eng Payload, déi fir Zertifikatsauthentifizéierung konfiguréiert war, awer nach ëmmer e Passwuertfeld verlaangt; et mat engem Platzhalter ze fëllen huet erlaabt, de Profil unzewenden, an näischt huet jeemools dee Wäert fir d’Authentifizéierung benotzt.

Wann Dir dee Wee gitt, späichert eng Dummy-Zeechenketten an ni eng richteg Umeldungsinformatioun, a haalt dat richtegt Geheimnis ausserhalb vum Kierper vum Profil. E Profil, deen e funktionéierend Passwuert dréit, gëtt eng Datei, déi wéi e Schlëssel geschützt muss ginn, an dat ass eng bemierkenswäert gréisser Problematik wéi den Import, dee gescheitert ass an mat deem Dir ugefaangen hutt. Entscheet, wiem dee Platzhalter gehéiert, ier de Profil verdeelt gëtt, sou dass en duerno keen als Wäert ugesäit, dee verdéngt rotéiert ze ginn. Dokumentéieren, firwat en existéiert, kascht eng Linn a spuert sechs Méint méi spéit eng Diskussioun.

Bestätegt, dass de Profil wierklech ukomm ass

En erfollegräichen Import ass keen funktionéierende Service, also prüft an dëser Reihenfolge:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Den éischte Kommando listet installéiert Payloaden; den zweete seet, ob iwwerhaapt e VPN-Service existéiert. Den leschte, no der Verbindung ausgefouert, weist de Resolver, deen d’System wierklech benotze wäert. Liest se an där Reihenfolge a stoppt do, wou d’Kette bricht, well e feelende Service mécht all Fro iwwer de Resolver sënnlos. E Profil kann als installéiert opgelëscht sinn an trotzdem näischt Brauchbares besetzen, an dat ass genee deen Zoustand, deen dës Sequenz soll opdecken.

Wann den Tunnel eropkënnt, während en Service-Antrag nach keen brauchbaren Numm huet, ass d’Feld vum ugewise Numm beim Export verluer gaangen, an d’Heilung ass en nei generéierte Profil an net eng Ëmbenennung um Client. Wann de Resolver weider op de lokalen weist, ass d’DNS-Payload méi grëndlech ewechgeholl ginn, wéi Dir geduecht hutt.

Rullt et a Phasen aus, ee Mac op eemol

Installéiert op engem verwalteten Mac mat deem selwechte OS-Build, a prüft duerno dräi Saachen getrennt: de Service erschéngt, de Resolver ännert sech, an eng eenzeg richteg intern Ufro geléngt. Eréischt nodeems all dräi erfëllt sinn, sollt de Beräich erweidert ginn.

Dat sinn dräi verschidde Resultater, déi op dräi verschidde Manéiere scheiteren, an dat ass et, wat eng Testmaschinn déi zéng Minutten wäert mécht. E Profil, deen importéiert gëtt, ass kee Profil, deen funktionéiert, an d’Maschinn vun der éischter Etapp fänkt béid Aarte vu Versoen, ier de Rescht vun der Flott eng vun hinne gesäit.

Ähnlech Artikelen