Mac говорит Cisco VPN: какой из трёх вы на самом деле запускаете?
Встроенная запись IPsec, снятый с поддержки Cisco VPN Client и Secure Client называются одинаково. Определите владельца, прежде чем применять старые исправления.
Кто-то говорит вам, что Cisco VPN сломан на его Mac, и эта фраза охватывает как минимум три разных объекта. Она может означать профиль, встроенный в macOS, приложение из прошлой эпохи или клиент, который ваша организация разворачивает сегодня. У каждого свои режимы отказа, и исправление, написанное для одного, обычно не относится к двум другим.
Поэтому первая задача — не исправление. Это идентификация, и она занимает около минуты, если спросить о правильных деталях.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
Встроенная метка — не установленный драйвер Cisco
Apple поставляет тип VPN под названием Cisco IPsec, и он полезен, но это реализация Apple для конфигурации IPsec, а не старое стороннее приложение и не то, что ваша команда безопасности разворачивает в другом месте. Метка подсказывает, какую панель настроек открыть, и ничего не говорит о поддержке производителя.
Обратная ошибка стоит дороже. Предположение, что встроенная запись может заменить Secure Client, пропускает регистрацию, работу с сертификатами, проверки состояния и политику, которую ожидает шлюз. Профиль, разосланный организацией, не эквивалентен подключению, введённому вручную, даже если оба в итоге устанавливают туннель IPsec. Эта разница невидима в панели настроек и очевидна в журналах самого шлюза.
Спросите у владельца шлюза три вещи: какой клиент Mac он поддерживает, точное имя профиля и минимальную версию клиента. Добавьте версию macOS, которую использует пользователь. Одно лишь имя хоста сервера не описывает ничего из этого, поэтому заявки, содержащие только имя хоста, часто возвращаются.
Старые советы про ядро принадлежат своему десятилетию
Результаты поиска по проблемам VPN на Mac полны инструкций удерживать клавиши при запуске, загружаться в другую архитектуру ядра или запускать помощник, который старше нынешних средств защиты целостности системы. Эти шаги происходят из конкретных старых сочетаний оборудования Mac и сборок клиента. Повторять их сейчас — не миграция, и на текущей версии некоторые из них вообще невозможно выполнить.
Есть связанная граница, которую стоит знать, потому что её цитируют в неправильном контексте. Apple документирует, что 32-битные приложения перестали быть совместимы с macOS начиная с Catalina 10.15, поэтому такой старый клиент просто не может там работать независимо от драйверов или разрешений. Это граница совместимости приложений, а не проблема режима ядра, и смешивание двух объяснений даёт советы, которые никому не помогают.
Если доступен только устаревший клиент, относитесь к его профилю как к чувствительному материалу миграции и запросите утверждённую замену. Не отключайте защиту системы, не устанавливайте драйвер без подписи и не переименовывайте файл с расширением .pcf в надежде, что современный клиент его импортирует: PCF относится к формату старого клиента, Secure Client использует собственный механизм профилей, и эти двое не взаимозаменяемы по расширению.
Отделите клиент от сети
Когда поддерживаемый клиент уже установлен и в основном работает, интересный вопрос меняется. Он отказывает везде или только в одной сети доступа? Клиент, который подключается из домашней сети и отказывает в отеле, описывает доступность, а не архитектуру, и переустановка приложения не изменит фильтрацию отеля. Проверьте тот же ноутбук в сети, которой доверяете, прежде чем трогать установку.
Зафиксируйте сбой, прежде чем что-либо менять. Журнал самого клиента обычно называет этап, который не удался: выбор профиля, аутентификация, установка туннеля или политика. Сравните это с успешной попыткой из другой сети на той же машине, потому что переменная, которую вы проверяете, — это сеть, а клиент — константа.
Запишите ответ для следующей заявки
Когда вы знаете, с каким из трёх имеете дело, зафиксируйте это в заявке вместе с установленной версией и выпуском macOS. Эта одна строка не даёт следующему инженеру начать заново и делает возможной эскалацию к производителю без второго круга вопросов.
Затем проверьте единственное, что пользователю действительно нужно: может ли текущий клиент достичь ресурса, а не просто стал ли индикатор туннеля зелёным. Для границы совместимости, которая постоянно всплывает в этих обсуждениях, заметка Apple о прекращении поддержки 32-битных приложений с macOS Catalina — это источник, на который стоит ссылаться вместо фольклора.