VPN profilis neimportuojamas macOS: pirmiausia perskaitykite krovinį

Kai profilis viename Mac įdiegiamas sklandžiai, o kitame atmetamas, tinklas dar nepasiektas, todėl sertifikatai, šliuzai ir slaptažodžiai neturi būti kaltinami. Diegimo programa sustojo ties kriviniu, kurio nenorėjo priimti, ir paprastai užrašo, kuris tai buvo. Taip profilio failas ir viskas, kas jį sukūrė, lieka vienintelės prasmingos darbo vietos, o nustatymų trynimas kliente tampa įrodymų naikinimo būdu, o ne taisymu.

Skaitykite profilį, o ne iš naujo nustatykite Mac

Eksportuokite .mobileconfig ir pažiūrėkite, ką jis iš tikrųjų turi, prieš liesdami klientą:

plutil -p profile.mobileconfig | head -60

VPN profilis iš tikrųjų yra du skirtingus darbus atliekantys kroviniai: com.apple.vpn.managed laiko ryšį, o com.apple.dnsSettings.managed laiko sprendėjo konfigūraciją. Diegimas sustoja ties pirmuoju kriviniu, kurį diegimo programa atmeta, o atmetimas patenka į sistemos žurnalą su to krovinio pavadinimu, todėl būtent žurnalas pasako, kurią skiltį atidaryti. Išsaugokite paskutinio sėkmingai importuoto profilio kopiją, nes tas failas yra pagrindas, su kuriuo lyginamas jūsų skirtumas.

Ką generatorius tyliai pridėjo

Apple Configurator 2.15, 7A23 versija, savo DNS krivinyje išleido šį bloką:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

macOS 12.1 šios versijos parašyti profiliai buvo atmesti importuojant. Ryšys, sukurtas su Configurator 2.11.1, praėjo be jokių priekaištų, nes ta laida rakto apskritai nerašė. Pašalinkite visą DNS žodyną arba tik problematišką raktą, išsaugokite iš naujo ir tada bandykite dar kartą toje pačioje mašinoje, prieš ką nors kitą keisdami. Paprastai tas vienas pakeitimas ir yra visas taisymas.

Įrankis turi spąstus, kuriuos verta pažinti prieš juo pasitikint. Ištrynus raktą, to paties ryšio išsaugojimas jo negrąžino, ir jis vėl pasirodė tik tada, kai ryšys buvo sukurtas nuo nulio. Kiekvieną ką tik sugeneruotą profilį laikykite įtartinu ir apžiūrėkite, ypač kai visa ryšių partija buvo sukurta per vieną sesiją.

MDM kelias žlunga kitur

Tą patį profilį stumianti valdymo paslauga gali žlugti kitoje vietoje: klientas skundžiasi, kad VPN paslauga apskritai nebuvo sukurta. Praneštame atvejyje sertifikatų autentifikavimui sukonfigūruotas krovinys vis tiek reikalavo slaptažodžio lauko; jį užpildžius pakaitine reikšme profilis buvo pritaikytas, ir niekas tos reikšmės autentifikavimui niekada nepanaudojo.

Jei pasirinksite tą kelią, saugokite fiktyvią eilutę ir niekada tikrų prisijungimo duomenų, o tikrąją paslaptį laikykite už profilio korpuso ribų. Profilis su veikiančiu slaptažodžiu tampa failu, kurį reikia saugoti kaip raktą, ir tai yra kur kas didesnė problema nei nepavykęs importas, nuo kurio pradėjote. Nuspręskite, kam priklauso ta pakaitinė reikšmė, prieš paskirstant profilį, kad vėliau niekas nesupainiotų jos su verte, kurią verta keisti. Dokumentuoti, kodėl ji egzistuoja, užima vieną eilutę ir sutaupo ginčą po pusės metų.

Patvirtinkite, kad profilis tikrai nusileido

Sėkmingas importas nėra veikianti paslauga, todėl tikrinkite šia tvarka:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Pirmoji komanda išvardija įdiegtus krovinius; antroji pasako, ar apskritai yra VPN paslauga. Paskutinė, paleista po prisijungimo, parodo sprendėją, kurį sistema tikrai naudos. Skaitykite jas šia tvarka ir sustokite ten, kur grandinė trūksta, nes trūkstama paslauga bet kokį klausimą apie sprendėją padaro beprasmį. Profilis gali būti įrašytas kaip įdiegtas ir vis tiek neturėti nieko naudingo, ir būtent šią būseną ši seka skirta atskleisti.

Jei tunelis pakyla, o paslaugos įrašas dar neturi naudojamo pavadinimo, rodomo pavadinimo laukas buvo prarastas eksportuojant, o vaistas yra iš naujo sugeneruotas profilis, o ne pervadinimas kliente. Jei sprendėjas teberodo į vietinį, DNS krovinys buvo pašalintas kruopščiau, nei ketinote.

Diegkite etapais, po vieną Mac

Įdiekite viename valdomame Mac, kuriame veikia ta pati OS versija, tada patikrinkite tris dalykus atskirai: paslauga atsiranda, sprendėjas pasikeičia ir viena tikra vidinė užklausa pavyksta. Tik po visų trijų galima plėsti apimtį.

Tai trys skirtingi rezultatai, kurie žlunga trimis skirtingais būdais, ir būtent todėl viena bandymo mašina verta tų dešimties minučių. Importuojamas profilis nėra veikiantis profilis, o pirmojo etapo mašina pagauna abi gedimų rūšis, kol likusi laivyno dalis nemato nė vienos.