Mac spune Cisco VPN: pe care dintre cele trei îl rulezi de fapt?
O intrare IPsec nativă, Cisco VPN Client întrerupt și Secure Client poartă toate același nume. Identifică proprietarul înainte de a aplica remedieri vechi.
Cineva îți spune că Cisco VPN este stricat pe Macul său, iar această formulare acoperă cel puțin trei obiecte diferite. Poate însemna un profil inclus în macOS, o aplicație dintr-o epocă anterioară sau clientul pe care organizația ta îl implementează astăzi. Fiecare are propriile moduri de eșec, iar o remediere scrisă pentru unul este de obicei irelevantă pentru celelalte două.
Deci prima sarcină nu este o remediere. Este identificare, și durează aproximativ un minut dacă ceri detaliile corecte.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
O etichetă nativă nu este un driver Cisco instalat
Apple oferă un tip de VPN numit Cisco IPsec, și este util, dar este implementarea Apple a unei configurații IPsec, nu vechea aplicație terță și nici ce implementează echipa ta de securitate în altă parte. Eticheta îți spune ce panou de configurare să deschizi și nimic despre suportul furnizorului.
Greșeala inversă costă mai mult. A presupune că o intrare nativă poate înlocui Secure Client omite înregistrarea, gestionarea certificatelor, verificările de postură și politica pe care o așteaptă gatewayul. Un profil trimis de organizație nu este echivalent cu o conexiune tastată manual, chiar dacă ambele ajung să stabilească un tunel IPsec. Această diferență este invizibilă în panoul de setări și evidentă în jurnalele gatewayului însuși.
Întreabă proprietarul gatewayului trei lucruri: clientul Mac pe care îl acceptă, numele exact al profilului și versiunea minimă a clientului. Adaugă versiunea de macOS pe care o rulează utilizatorul. Un nume de gazdă de server singur nu descrie nimic din acestea, motiv pentru care tichetele care conțin doar un nume de gazdă tind să revină.
Sfaturile vechi despre nucleu aparțin deceniului lor
Rezultatele căutării pentru probleme de VPN pe Mac sunt pline de instrucțiuni de a ține taste apăsate la pornire, de a porni într-o altă arhitectură de nucleu sau de a rula un utilitar mai vechi decât protecțiile actuale de integritate a sistemului. Acești pași provin din combinații vechi specifice de hardware Mac și compilări ale clientului. Repetarea lor acum nu este o migrare, iar pe o versiune actuală unele nu pot fi deloc executate.
Există o limită înrudită pe care merită să o cunoști, pentru că este citată în contextul greșit. Apple documentează că aplicațiile pe 32 de biți au încetat să fie compatibile cu macOS începând cu Catalina 10.15, așa că un client atât de vechi pur și simplu nu poate rula acolo, indiferent de drivere sau permisiuni. Este o limită de compatibilitate a aplicațiilor, nu o problemă de mod nucleu, iar amestecarea celor două explicații produce sfaturi care nu ajută pe nimeni.
Dacă rămâne disponibil doar un client învechit, tratează profilul său ca material de migrare sensibil și cere înlocuitorul aprobat. Nu dezactiva protecțiile sistemului, nu instala un driver nesemnat și nu redenumi un fișier cu extensia .pcf în speranța că un client modern îl va importa: un PCF aparține formatului clientului vechi, Secure Client folosește propriul mecanism de profiluri, iar cele două nu sunt interschimbabile după extensie.
Separă clientul de rețea
Când clientul acceptat este deja instalat și funcționează în mare parte, întrebarea interesantă se schimbă. Eșuează peste tot sau doar într-o singură rețea de acces? Un client care se conectează de la o conexiune de acasă și eșuează într-un hotel descrie accesibilitatea, nu arhitectura, iar reinstalarea aplicației nu va schimba filtrarea hotelului. Testează același laptop într-o rețea în care ai încredere înainte de a atinge instalarea.
Capturează eșecul înainte de a schimba ceva. Jurnalul clientului însuși numește de obicei faza care a eșuat: selecția profilului, autentificarea, stabilirea tunelului sau politica. Compară-l cu o încercare reușită dintr-o altă rețea pe aceeași mașină, pentru că variabila pe care o testezi este rețeaua, iar clientul este constanta.
Notează răspunsul pentru următorul tichet
După ce știi cu care dintre cele trei ai de-a face, notează-l în tichet împreună cu versiunea instalată și versiunea de macOS. Acea singură linie împiedică următorul inginer să înceapă de la zero și face posibilă o escaladare la furnizor fără o a doua rundă de întrebări.
Apoi verifică singurul lucru de care utilizatorul chiar are nevoie: dacă clientul actual poate ajunge la resursă, și nu doar dacă indicatorul tunelului a devenit verde. Pentru limita de compatibilitate care apare continuu în aceste discuții, nota Apple despre sfârșitul suportului pentru aplicații pe 32 de biți cu macOS Catalina este referința care merită citată în locul folclorului.