Mac mówi Cisco VPN: który z trzech tak naprawdę uruchamiasz?
Wbudowany wpis IPsec, wycofany Cisco VPN Client i Secure Client noszą tę samą nazwę. Ustal właściciela, zanim zastosujesz stare poprawki.
Ktoś mówi ci, że Cisco VPN jest zepsuty na jego Macu, a to sformułowanie obejmuje co najmniej trzy różne rzeczy. Może oznaczać profil wbudowany w macOS, aplikację z poprzedniej epoki lub klienta, którego twoja organizacja wdraża dziś. Każdy ma własne tryby awarii, a poprawka napisana dla jednego zwykle nie dotyczy pozostałych dwóch.
Pierwszym zadaniem nie jest więc poprawka. To identyfikacja, która zajmuje około minuty, jeśli zapytasz o właściwe szczegóły.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
Wbudowana etykieta nie jest zainstalowanym sterownikiem Cisco
Apple dostarcza typ VPN o nazwie Cisco IPsec i jest on przydatny, ale to implementacja Apple układy IPsec, a nie stara aplikacja firmy trzeciej ani to, co twój zespół bezpieczeństwa wdraża gdzie indziej. Etykieta mówi, który panel konfiguracji otworzyć, i nic o wsparciu producenta.
Odwrotny błąd kosztuje więcej. Założenie, że wbudowany wpis może zastąpić Secure Client, pomija rejestrację, obsługę certyfikatów, kontrole postury i politykę, której oczekuje brama. Profil wysłany przez organizację nie jest równoważny połączeniu wpisanemu ręcznie, nawet gdy oba ostatecznie zestawiają tunel IPsec. Ta różnica jest niewidoczna w panelu ustawień i oczywista w logach samej bramy.
Zapytaj właściciela bramy o trzy rzeczy: obsługiwanego klienta Mac, dokładną nazwę profilu i minimalną wersję klienta. Dodaj wersję macOS, której używa użytkownik. Sama nazwa hosta serwera nie opisuje niczego z tego, dlatego zgłoszenia zawierające tylko nazwę hosta często wracają.
Stare porady dotyczące jądra należą do swojej dekady
Wyniki wyszukiwania dotyczące problemów z VPN na Macu są pełne instrukcji trzymania klawiszy podczas uruchamiania, bootowania w innej architekturze jądra lub uruchamiania pomocnika starszego niż obecne zabezpieczenia integralności systemu. Te kroki pochodzą z konkretnych starych kombinacji sprzętu Mac i kompilacji klienta. Powtarzanie ich teraz nie jest migracją, a w obecnej wersji niektórych nie da się w ogóle wykonać.
Istnieje powiązana granica, którą warto znać, bo bywa cytowana w złym kontekście. Apple dokumentuje, że aplikacje 32-bitowe przestały być zgodne z macOS począwszy od Catalina 10.15, więc tak stary klient po prostu nie może tam działać, niezależnie od sterowników czy uprawnień. To granica zgodności aplikacji, a nie problem trybu jądra, i mieszanie obu wyjaśnień daje porady, które nikomu nie pomagają.
Jeśli dostępny pozostaje tylko przestarzały klient, traktuj jego profil jako wrażliwy materiał migracyjny i poproś o zatwierdzony zamiennik. Nie wyłączaj zabezpieczeń systemu, nie instaluj niepodpisanego sterownika i nie zmieniaj nazwy pliku z rozszerzeniem .pcf w nadziei, że nowoczesny klient go zaimportuje: PCF należy do formatu starego klienta, Secure Client używa własnego mechanizmu profili, a oba nie są wymienne według rozszerzenia.
Oddziel klienta od sieci
Gdy obsługiwany klient jest już zainstalowany i w większości działa, ciekawe pytanie się zmienia. Czy zawodzi wszędzie, czy tylko w jednej sieci dostępowej? Klient, który łączy się z domowego połączenia i zawodzi w hotelu, opisuje osiągalność, a nie architekturę, i ponowna instalacja aplikacji nie zmieni filtrowania hotelu. Przetestuj ten sam laptop w zaufanej sieci, zanim dotkniesz instalacji.
Zarejestruj awarię, zanim cokolwiek zmienisz. Log samego klienta zwykle wskazuje etap, który zawiódł: wybór profilu, uwierzytelnianie, zestawienie tunelu lub politykę. Porównaj to z udaną próbą z innej sieci na tej samej maszynie, bo zmienną, którą testujesz, jest sieć, a klient jest stałą.
Zapisz odpowiedź na następne zgłoszenie
Gdy wiesz, z którym z trzech masz do czynienia, zapisz to w zgłoszeniu wraz z zainstalowaną wersją i wydaniem macOS. Ta jedna linia powstrzymuje następnego inżyniera przed zaczynaniem od zera i umożliwia eskalację do producenta bez drugiej rundy pytań.
Następnie sprawdź jedyną rzecz, której użytkownik naprawdę potrzebuje: czy bieżący klient może dotrzeć do zasobu, a nie tylko czy wskaźnik tunelu zmienił kolor na zielony. Dla granicy zgodności, która ciągle pojawia się w tych wątkach, notatka Apple o końcu wsparcia aplikacji 32-bitowych wraz z macOS Catalina jest odniesieniem, które warto cytować zamiast folkloru.