O Mac diz Cisco VPN: qual dos três você está realmente executando?
Uma entrada IPsec nativa, o descontinuado Cisco VPN Client e o Secure Client recebem todos o mesmo nome. Identifique o proprietário antes de aplicar correções antigas.
Alguém diz que o Cisco VPN está quebrado no Mac dele, e essa frase cobre pelo menos três objetos diferentes. Pode significar um perfil embutido no macOS, uma aplicação de uma época anterior ou o cliente que a sua organização implementa hoje. Cada um tem os seus próprios modos de falha, e uma correção escrita para um normalmente é irrelevante para os outros dois.
Então o primeiro trabalho não é uma correção. É identificação, e leva cerca de um minuto se você perguntar pelos detalhes certos.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
Um rótulo nativo não é um controlador Cisco instalado
A Apple fornece um tipo de VPN chamado Cisco IPsec, e ele é útil, mas é a implementação da Apple de uma disposição IPsec, não a antiga aplicação de terceiros nem o que a sua equipa de segurança implementa noutro lugar. O rótulo diz qual painel de configuração abrir e nada sobre o suporte do fornecedor.
O erro inverso custa mais. Supor que uma entrada nativa pode substituir o Secure Client salta o registo, o tratamento de certificados, as verificações de postura e a política que o gateway espera. Um perfil enviado pela organização não é equivalente a uma ligação escrita à mão, mesmo quando ambos acabam por estabelecer um túnel IPsec. Essa diferença é invisível no painel de definições e óbvia nos registos do próprio gateway.
Pergunte ao proprietário do gateway três coisas: o cliente Mac que suporta, o nome exato do perfil e a versão mínima do cliente. Acrescente a versão do macOS que o utilizador executa. Um nome de anfitrião de servidor sozinho não descreve nada disso, e é por isso que os pedidos que contêm apenas um nome de anfitrião tendem a voltar.
Os conselhos antigos sobre o núcleo pertencem à sua própria década
Os resultados de pesquisa sobre problemas de VPN no Mac estão cheios de instruções para manter teclas premidas durante o arranque, iniciar numa arquitetura de núcleo diferente ou executar um auxiliar anterior às proteções atuais de integridade do sistema. Esses passos vêm de combinações antigas específicas de hardware Mac e compilações do cliente. Repeti-los agora não é uma migração, e numa versão atual alguns não podem ser executados de todo.
Há um limite relacionado que vale a pena conhecer, porque é citado no contexto errado. A Apple documenta que as aplicações de 32 bits deixaram de ser compatíveis com o macOS a partir do Catalina 10.15, pelo que um cliente tão antigo simplesmente não pode ser executado lá, independentemente dos controladores ou das permissões. É um limite de compatibilidade de aplicações, não um problema de modo de núcleo, e misturar as duas explicações produz conselhos que não ajudam ninguém.
Se só restar um cliente obsoleto, trate o perfil como material de migração sensível e peça a substituição aprovada. Não desative as proteções do sistema, não instale um controlador não assinado e não renomeie um ficheiro com a extensão .pcf na esperança de que um cliente moderno o importe: um PCF pertence ao formato do cliente antigo, o Secure Client usa o seu próprio mecanismo de perfis, e os dois não são intercambiáveis por extensão.
Separe o cliente da rede
Quando o cliente suportado já está instalado e funciona na maior parte, a pergunta interessante muda. Falha em todo o lado ou apenas numa rede de acesso? Um cliente que liga a partir de uma ligação doméstica e falha num hotel descreve acessibilidade, não arquitetura, e reinstalar a aplicação não mudará a filtragem do hotel. Teste o mesmo portátil numa rede de confiança antes de mexer na instalação.
Capture a falha antes de mudar o que quer que seja. O registo do próprio cliente normalmente nomeia a fase que falhou: seleção de perfil, autenticação, estabelecimento do túnel ou política. Compare isso com uma tentativa bem-sucedida a partir de outra rede na mesma máquina, porque a variável que está a testar é a rede, e o cliente é a constante.
Anote a resposta para o próximo pedido
Assim que souber qual dos três está a tratar, registe-o no pedido juntamente com a versão instalada e a versão do macOS. Essa única linha impede o próximo engenheiro de começar de novo e torna possível uma escalada ao fornecedor sem uma segunda ronda de perguntas.
Depois verifique a única coisa de que o utilizador realmente precisa: se o cliente atual consegue alcançar o recurso, e não apenas se o indicador do túnel ficou verde. Para o limite de compatibilidade que surge continuamente nestes tópicos, a nota da Apple sobre o fim do suporte a aplicações de 32 bits com o macOS Catalina é a referência que vale a pena citar em vez do folclore.