Mac sier Cisco VPN: hvilken av de tre kjører du egentlig?
En innebygd IPsec-oppføring, den nedlagte Cisco VPN Client og Secure Client kalles alle det samme. Identifiser eieren før du bruker gamle rettelser.
Noen forteller deg at Cisco VPN er ødelagt på Macen deres, og den formuleringen dekker minst tre forskjellige objekter. Det kan bety en profil som er innebygd i macOS, et program fra en tidligere æra eller klienten organisasjonen din ruller ut i dag. Hver har sine egne feilmoduser, og en rettelse skrevet for én er vanligvis irrelevant for de to andre.
Så den første oppgaven er ikke en rettelse. Det er identifikasjon, og det tar omtrent ett minutt hvis du spør om de riktige detaljene.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
En innebygd etikett er ikke en installert Cisco-driver
Apple leverer en VPN-type kalt Cisco IPsec, og den er nyttig, men det er Apples implementering av et IPsec-oppsett, ikke det gamle tredjepartsprogrammet eller det sikkerhetsteamet ditt ruller ut andre steder. Etiketten forteller deg hvilket konfigurasjonspanel du skal åpne, og ingenting om leverandørens støtte.
Den motsatte feilen koster mer. Å anta at en innebygd oppføring kan erstatte Secure Client hopper over påmelding, sertifikathåndtering, postur-sjekker og policyen gatewayen forventer. En profil organisasjonen sender ut er ikke likeverdig med en tilkobling noen har skrevet inn for hånd, selv når begge til slutt etablerer en IPsec-tunnel. Forskjellen er usynlig i innstillingspanelet og tydelig i gatewayens egne logger.
Spør gatewayeieren om tre ting: Mac-klienten de støtter, det nøyaktige profilnavnet og minste klientversjon. Legg til macOS-versjonen brukeren kjører. Et serververtsnavn alene beskriver ingenting av dette, og derfor har saker som bare inneholder et vertsnavn en tendens til å komme tilbake.
Gamle kjerneråd hører til sitt eget tiår
Søkeresultater om Mac VPN-problemer er fulle av instruksjoner om å holde taster nede under oppstart, boote i en annen kjerneportefølje eller kjøre en hjelper som er eldre enn dagens beskyttelse av systemintegritet. Disse trinnene kommer fra bestemte gamle kombinasjoner av Mac-maskinvare og klientbygg. Å gjenta dem nå er ikke en migrering, og på en gjeldende versjon kan noen av dem ikke utføres i det hele tatt.
Det finnes en beslektet grense det er verdt å kjenne, fordi den siteres i feil sammenheng. Apple dokumenterer at 32-bits programmer sluttet å være kompatible med macOS fra og med Catalina 10.15, så en så gammel klient kan rett og slett ikke kjøre der, uansett drivere eller tillatelser. Det er en grense for programkompatibilitet, ikke et kjernemodusproblem, og å blande de to forklaringene gir råd som ikke hjelper noen.
Hvis bare en utdatert klient er tilgjengelig, behandle profilen som sensitivt migreringsmateriale og be om den godkjente erstatningen. Ikke slå av systembeskyttelse, ikke installer en usignert driver, og ikke gi nytt navn til en fil med endelsen .pcf i håp om at en moderne klient importerer den: en PCF tilhører det gamle klientformatet, Secure Client bruker sin egen profilmekanisme, og de to kan ikke byttes ut etter endelse.
Skill klienten fra nettverket
Når den støttede klienten allerede er installert og stort sett fungerer, endrer det interessante spørsmålet seg. Feiler den overalt, eller bare på ett tilgangsnettverk? En klient som kobler til fra hjemmenett og feiler på et hotell, beskriver tilgjengelighet, ikke arkitektur, og en reinstallasjon av programmet endrer ikke hotellets filtrering. Test den samme laptopen på et nettverk du stoler på før du rører installasjonen.
Fang feilen før du endrer noe. Klientens egen logg navngir vanligvis fasen som feilet: profilvalg, autentisering, tunneletablering eller policy. Sammenlign det med et vellykket forsøk fra et annet nettverk på samme maskin, fordi variabelen du tester er nettverket, og klienten er konstanten.
Skriv ned svaret for neste sak
Når du vet hvilken av de tre du har med å gjøre, noter det i saken sammen med installert versjon og macOS-utgave. Den ene linjen hindrer neste ingeniør i å starte på nytt, og gjør en eskalering til leverandøren mulig uten en andre runde med spørsmål.
Sjekk deretter den ene tingen brukeren faktisk trenger: om den nåværende klienten kan nå ressursen, og ikke bare om tunnelindikatoren ble grønn. For kompatibilitetsgrensen som stadig dukker opp i disse trådene, er Apples notat om slutten på 32-bits appstøtte med macOS Catalina referansen som er verdt å sitere i stedet for folkloremateriale.