Profil VPN tidak diimport pada macOS: baca muatan dahulu

Apabila profil dipasang dengan bersih pada satu Mac dan ditolak pada Mac lain, rangkaian belum dicapai lagi, jadi sijil, get laluan dan kata laluan tidak patut dipersalahkan. Pemasang berhenti pada muatan yang tidak mahu diterimanya, dan biasanya merekodkan yang mana. Ini meninggalkan fail profil dan apa sahaja yang menjananya sebagai satu-satunya tempat kerja yang munasabah, dan menjadikan pemadaman tetapan pada klien sebagai cara memusnahkan bukti dan bukan pembaikan.

Baca profil itu dan bukannya set semula Mac

Eksport .mobileconfig dan lihat apa yang sebenarnya dibawanya sebelum menyentuh klien:

plutil -p profile.mobileconfig | head -60

Profil VPN sebenarnya ialah dua muatan dengan tugas berbeza: com.apple.vpn.managed memegang sambungan, dan com.apple.dnsSettings.managed memegang konfigurasi penyelesai. Pemasangan berhenti pada muatan pertama yang ditolak oleh pemasang, dan penolakan itu masuk ke log sistem dengan nama muatan tersebut, jadi log itulah yang memberitahu bahagian mana untuk dibuka. Simpan salinan profil terakhir yang berjaya diimport, kerana fail itu ialah asas yang menjadi ukuran perbezaan anda.

Apa yang ditambah penjana secara senyap

Apple Configurator 2.15 binaan 7A23 mengeluarkan blok berikut di dalam muatan DNS-nya:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

Pada macOS 12.1, profil yang ditulis oleh binaan itu ditolak semasa import. Sambungan yang dibuat dengan Configurator 2.11.1 masuk tanpa aduan, kerana keluaran itu tidak menulis kunci itu langsung. Buang keseluruhan kamus DNS atau hanya kunci yang bermasalah, simpan semula, kemudian cuba lagi pada mesin yang sama sebelum menukar apa-apa yang lain. Biasanya satu suntingan itu ialah keseluruhan pembaikan.

Alat ini mempunyai perangkap yang wajar diketahui sebelum anda mempercayainya. Selepas kunci dipadam, menyimpan sambungan yang sama tidak mengembalikannya, dan ia muncul semula hanya apabila sambungan dicipta dari awal. Anggap setiap profil yang baru dijana sebagai mencurigakan dan periksanya, terutamanya apabila seluruh kelompok sambungan dibuat dalam satu sesi.

Laluan MDM gagal di tempat lain

Perkhidmatan pengurusan yang menolak profil yang sama boleh gagal di tempat lain: klien mengadu bahawa tiada perkhidmatan VPN dicipta langsung. Dalam kes yang dilaporkan, muatan yang dikonfigurasikan untuk pengesahan sijil tetap meminta medan kata laluan; mengisinya dengan pemegang tempat membenarkan profil digunakan, dan tiada apa pun pernah menggunakan nilai itu untuk mengesahkan.

Jika anda mengambil laluan itu, simpan rentetan dummy dan jangan sekali-kali kelayakan sebenar, serta jauhkan rahsia sebenar daripada badan profil. Profil yang membawa kata laluan yang berfungsi menjadi fail yang perlu dilindungi seperti kunci, dan itu masalah yang jauh lebih besar daripada import yang gagal yang anda mulakan. Tentukan siapa pemilik pemegang tempat itu sebelum profil diedarkan, supaya tiada siapa kemudian menyangkanya nilai yang wajar dirotasikan. Mendokumentasikan sebab ia wujud mengambil satu baris dan menjimatkan perbalahan enam bulan kemudian.

Sahkan profil itu benar-benar mendarat

Import yang berjaya bukan perkhidmatan yang berfungsi, jadi semak mengikut urutan ini:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Perintah pertama menyenaraikan muatan yang dipasang; yang kedua menyatakan sama ada perkhidmatan VPN wujud langsung. Yang terakhir, dijalankan selepas menyambung, menunjukkan penyelesai yang benar-benar akan digunakan sistem. Bacalah mengikut urutan itu dan berhenti di tempat rantai terputus, kerana perkhidmatan yang tiada menjadikan sebarang soalan tentang penyelesai tidak bermakna. Sesuatu profil boleh tersenarai sebagai dipasang dan masih tidak memiliki apa-apa yang boleh digunakan, dan itulah keadaan yang urutan ini direka untuk mendedahkan.

Jika terowong naik sementara entri perkhidmatan masih tiada nama yang boleh digunakan, medan nama paparan hilang semasa eksport, dan ubatnya ialah profil yang dijana semula dan bukan penamaan semula pada klien. Jika penyelesai terus menunjuk ke yang setempat, muatan DNS telah dibuang lebih menyeluruh daripada yang anda maksudkan.

Lancarkan secara berperingkat, satu Mac pada satu masa

Pasang pada satu Mac terurus yang menjalankan binaan OS yang sama, kemudian semak tiga perkara secara berasingan: perkhidmatan muncul, penyelesai berubah, dan satu permintaan dalaman sebenar berjaya. Hanya selepas ketiga-tiganya skop boleh diperluas.

Itu tiga hasil berbeza yang gagal dalam tiga cara berbeza, dan itulah yang menjadikan satu mesin ujian wajar menelan sepuluh minitnya. Profil yang boleh diimport bukan profil yang berfungsi, dan mesin peringkat pertama menangkap kedua-dua jenis kegagalan sebelum seluruh armada melihat salah satunya.