VPN profils macOS netiek importēts: vispirms izlasiet slodzes saturu

Profils, kas tiek noraidīts vienā Mac un pieņemts citā, parasti ir slodzes problēma. Salīdziniet XML, pārbaudiet, ko pievienoja ģenerators, un pēc tam pārbaudiet pakalpojumu.

Kad profils vienā Mac instalējas bez problēmām, bet citā tiek noraidīts, tīkls vēl nav sasniegts, tāpēc sertifikāti, vārtejas un paroles nav vainojami. Instalētājs apstājās pie slodzes, ko negribēja pieņemt, un parasti pieraksta, kuras. Tādējādi profila fails un viss, kas to radīja, paliek vienīgās saprātīgās darba vietas, un iestatījumu dzēšana klientā kļūst par pierādījumu iznīcināšanu, nevis labošanu.

Lasiet profilu, nevis atiestatiet Mac

Eksportējiet .mobileconfig un apskatiet, ko tas patiešām satur, pirms pieskaraties klientam:

plutil -p profile.mobileconfig | head -60

VPN profils patiesībā ir divas slodzes ar dažādiem uzdevumiem: com.apple.vpn.managed satur savienojumu, un com.apple.dnsSettings.managed satur atrisinātāja konfigurāciju. Instalācija apstājas pie pirmās slodzes, ko instalētājs noraida, un noraidījums nonāk sistēmas žurnālā ar šīs slodzes nosaukumu, tāpēc tieši žurnāls pasaka, kuru sadaļu atvērt. Saglabājiet pēdējā veiksmīgi importētā profila kopiju, jo šis fails ir pamats, pret kuru tiek mērīta jūsu atšķirība.

Ko ģenerators klusi pievienoja

Apple Configurator 2.15, 7A23 būvējums, savā DNS slodzē izdeva šādu bloku:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

Operētājsistēmā macOS 12.1 šī būvējuma rakstītie profili tika noraidīti importēšanas laikā. Savienojums, kas izveidots ar Configurator 2.11.1, iegāja bez sūdzībām, jo šis izlaidums atslēgu nemaz neierakstīja. Noņemiet visu DNS vārdnīcu vai tikai problemātisko atslēgu, saglabājiet vēlreiz un pēc tam mēģiniet vēlreiz tajā pašā mašīnā, pirms maināt ko citu. Parasti šis viens labojums ir viss remonts.

Rīkam ir slazds, ko ir vērts zināt, pirms tam uzticēties. Pēc atslēgas dzēšanas tā paša savienojuma saglabāšana to neatgrieza, un tā atkal parādījās tikai tad, kad savienojums tika izveidots no nulles. Uzskatiet katru svaigi ģenerētu profilu par aizdomīgu un pārbaudiet to, jo īpaši tad, ja visa savienojumu partija tika izveidota vienā sesijā.

MDM ceļš neizdodas citviet

Pārvaldības pakalpojums, kas virza to pašu profilu, var neizdoties citā vietā: klients sūdzas, ka VPN pakalpojums vispār netika izveidots. Ziņotajā gadījumā slodze, kas bija konfigurēta sertifikātu autentifikācijai, tomēr prasīja paroles lauku; tā aizpildīšana ar vietturi ļāva profilu piemērot, un nekas nekad neizmantoja šo vērtību autentifikācijai.

Ja izvēlaties šo ceļu, glabājiet fiktīvu virkni un nekad īstus akreditācijas datus, un turiet īsto noslēpumu ārpus profila korpusa. Profils ar darbojošos paroli kļūst par failu, kas jāaizsargā kā atslēga, un tā ir daudz lielāka problēma nekā neizdevušais imports, ar ko sākāt. Izlemiet, kam pieder šī vietture, pirms profils tiek izplatīts, lai vēlāk neviens to neuzskatītu par vērtību, ko ir vērts mainīt. Dokumentēt, kāpēc tā pastāv, aizņem vienu rindu un ietaupa strīdu pēc pusgada.

Pārliecinieties, ka profils tiešām ir nonācis

Veiksmīgs imports nav strādājošs pakalpojums, tāpēc pārbaudiet šādā secībā:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Pirmā komanda uzskaita instalētās slodzes; otrā pasaka, vai VPN pakalpojums vispār pastāv. Pēdējā, palaista pēc savienošanās, parāda atrisinātāju, ko sistēma patiešām izmantos. Lasiet tās šādā secībā un apstājieties tur, kur ķēde pārtrūkst, jo trūkstošs pakalpojums padara jebkuru jautājumu par atrisinātāju bezjēdzīgu. Profils var būt uzskaitīts kā instalēts un tomēr nepiederēt neko lietojamu, un tieši šo stāvokli šī secība ir paredzēta atklāt.

Ja tunelis paceļas, kamēr pakalpojuma ierakstam vēl nav lietojama nosaukuma, attēlojamā nosaukuma lauks tika pazaudēts eksportā, un ārstēšana ir no jauna ģenerēts profils, nevis pārdēvēšana klientā. Ja atrisinātājs joprojām norāda uz vietējo, DNS slodze ir noņemta pamatīgāk, nekā bijāt iecerējis.

Ieviesiet pakāpeniski, pa vienam Mac

Instalējiet vienā pārvaldītā Mac ar to pašu OS būvējumu, pēc tam pārbaudiet trīs lietas atsevišķi: pakalpojums parādās, atrisinātājs mainās un viens īsts iekšējs pieprasījums izdodas. Tikai pēc visiem trim drīkst paplašināt tvērumu.

Tie ir trīs dažādi rezultāti, kas neizdodas trīs dažādos veidos, un tieši tāpēc viena testa mašīna ir vērta tos desmit minūtes. Imports profils nav strādājošs profils, un pirmā posma mašīna pārtver abus bojājumu veidus, pirms pārējā flote ierauga kaut vienu.

Saistītie raksti