Mac zegt Cisco VPN: welke van de drie gebruikt u nu echt?
Een native IPsec-item, de stopgezette Cisco VPN Client en Secure Client heten allemaal hetzelfde. Stel de eigenaar vast voordat u oude oplossingen toepast.
Iemand vertelt u dat de Cisco VPN kapot is op zijn Mac, en die uitdrukking dekt minstens drie verschillende dingen. Het kan een profiel zijn dat in macOS is ingebouwd, een toepassing uit een vorig tijdperk of de client die uw organisatie vandaag uitrolt. Elk heeft zijn eigen faalwijzen, en een oplossing die voor het ene is geschreven, is meestal irrelevant voor de andere twee.
De eerste taak is dus geen oplossing. Het is identificatie, en het kost ongeveer een minuut als u naar de juiste details vraagt.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
Een native label is geen geïnstalleerd Cisco-stuurprogramma
Apple levert een VPN-type met de naam Cisco IPsec, en dat is nuttig, maar het is Apples implementatie van een IPsec-opstelling, niet de oude toepassing van derden en ook niet wat uw beveiligingsteam elders uitrolt. Het label vertelt u welk configuratiescherm u opent en niets over leveranciersondersteuning.
De omgekeerde fout kost meer. Aannemen dat een native item Secure Client kan vervangen, slaat inschrijving, certificaatbeheer, postuurcontroles en het beleid dat de gateway verwacht over. Een profiel dat de organisatie pusht is niet gelijkwaardig aan een verbinding die iemand met de hand heeft getypt, ook al brengen beide uiteindelijk een IPsec-tunnel tot stand. Dat verschil is onzichtbaar in het instellingenscherm en duidelijk in de logboeken van de gateway zelf.
Vraag de eigenaar van de gateway drie dingen: de Mac-client die hij ondersteunt, de exacte profielnaam en de minimale clientversie. Voeg de macOS-versie toe die de gebruiker draait. Een serverhostnaam alleen beschrijft niets daarvan, en daarom komen tickets met alleen een hostnaam vaak terug.
Oud kerneladvies hoort bij zijn eigen decennium
Zoekresultaten over Mac VPN-problemen staan vol instructies om toetsen ingedrukt te houden tijdens het opstarten, in een andere kernelarchitectuur te booten of een hulpprogramma te draaien dat ouder is dan de huidige bescherming van de systeemintegriteit. Die stappen komen uit specifieke oude combinaties van Mac-hardware en client-builds. Ze nu herhalen is geen migratie, en op een huidige versie kunnen sommige ervan helemaal niet worden uitgevoerd.
Er is een verwante grens die het kennen waard is, omdat er in de verkeerde context naar wordt verwezen. Apple documenteert dat 32-bits toepassingen vanaf Catalina 10.15 niet meer compatibel waren met macOS, dus zo'n oude client kan daar simpelweg niet draaien, ongeacht stuurprogramma's of machtigingen. Dat is een grens voor toepassingscompatibiliteit, geen kernelmodusprobleem, en het mengen van de twee verklaringen levert advies op dat niemand helpt.
Als alleen een verouderde client beschikbaar blijft, behandel het profiel dan als gevoelig migratiemateriaal en vraag om de goedgekeurde vervanging. Schakel systeembescherming niet uit, installeer geen niet-ondertekend stuurprogramma en hernoem geen bestand met de extensie .pcf in de hoop dat een moderne client het importeert: een PCF hoort bij het formaat van de oude client, Secure Client gebruikt zijn eigen profielmechanisme, en de twee zijn niet uitwisselbaar op basis van de extensie.
Scheid de client van het netwerk
Wanneer de ondersteunde client al is geïnstalleerd en grotendeels werkt, verandert de interessante vraag. Faalt hij overal, of alleen op één toegangsnetwerk? Een client die vanaf een thuisverbinding verbindt en in een hotel faalt, beschrijft bereikbaarheid, niet architectuur, en het opnieuw installeren van de toepassing verandert de filtering van het hotel niet. Test dezelfde laptop op een netwerk dat u vertrouwt voordat u de installatie aanraakt.
Leg de fout vast voordat u iets wijzigt. Het logboek van de client zelf noemt meestal de fase die mislukte: profielkeuze, authenticatie, tunnelopbouw of beleid. Vergelijk dat met een geslaagde poging vanaf een ander netwerk op dezelfde machine, want de variabele die u test is het netwerk, en de client is de constante.
Schrijf het antwoord op voor het volgende ticket
Zodra u weet met welke van de drie u te maken hebt, noteer het in het ticket samen met de geïnstalleerde versie en de macOS-versie. Die ene regel voorkomt dat de volgende engineer opnieuw begint, en maakt escalatie naar de leverancier mogelijk zonder een tweede ronde vragen.
Controleer daarna het enige dat de gebruiker echt nodig heeft: of de huidige client de bron kan bereiken, en niet alleen of de tunnelindicator groen werd. Voor de compatibiliteitsgrens die in deze discussies steeds terugkomt, is Apples notitie over het einde van 32-bits app-ondersteuning met macOS Catalina de referentie die het citeren waard is in plaats van folklore.