Mac hlási Cisco VPN: ktorý z troch naozaj používate?

Niekto vám povie, že má na Macu pokazenú Cisco VPN, a tento výraz pokrýva najmenej tri rôzne objekty. Môže znamenať profil zabudovaný v macOS, aplikáciu z predchádzajúcej éry alebo klienta, ktorého vaša organizácia nasadzuje dnes. Každý má svoje vlastné režimy zlyhania a oprava napísaná pre jeden je zvyčajne pre ostatné dva irelevantná.

Prvá úloha teda nie je oprava. Je to identifikácia a zaberie asi minútu, ak sa spýtate na správne podrobnosti.

Natívne označenie nie je nainštalovaný ovládač Cisco

Apple dodáva typ VPN označený Cisco IPsec a je užitočný, no je to implementácia Apple usporiadania IPsec, nie stará aplikácia tretej strany ani to, čo váš bezpečnostný tím nasadzuje inde. Označenie vám povie, ktorý panel nastavení otvoriť, a nič o podpore výrobcu.

Opačná chyba stojí viac. Predpoklad, že natívna položka môže nahradiť Secure Client, preskakuje registráciu, prácu s certifikátmi, kontroly postoja a zásady, ktoré brána očakáva. Profil odoslaný organizáciou nie je rovnocenný ručne napísanému pripojeniu, aj keď obe napokon vytvoria tunel IPsec. Tento rozdiel je v paneli nastavení neviditeľný a v protokoloch samotnej brány zrejmý.

Opýtajte sa vlastníka brány na tri veci: ktorý Mac klient je podporovaný, presný názov profilu a minimálnu verziu klienta. Pridajte verziu macOS, ktorú používateľ spúšťa. Samotné meno hostiteľa servera nič z toho neopisuje, a preto tikety obsahujúce len meno hostiteľa často vracajú.

Staré rady o jadre patria do svojej vlastnej dekády

Výsledky hľadania problémov s VPN na Macu sú plné návodov držať pri spúšťaní klávesy, zaviesť inú architektúru jadra alebo spustiť pomocník, ktorý je starší než súčasné ochrany integrity systému. Tieto kroky pochádzajú z konkrétnych starých kombinácií hardvéru Mac a zostavení klienta. Opakovať ich teraz nie je migrácia a na súčasnej verzii niektoré z nich vôbec nemožno vykonať.

Existuje súvisiaca hranica, ktorú stojí za to poznať, pretože sa cituje v nesprávnom kontexte. Apple dokumentuje, že 32-bitové aplikácie prestali byť kompatibilné s macOS počnúc Catalina 10.15, takže taký starý klient tam jednoducho nemôže bežať bez ohľadu na ovládače alebo povolenia. To je hranica kompatibility aplikácií, nie problém režimu jadra, a miešanie oboch vysvetlení vytvára rady, ktoré nikomu nepomôžu.

Ak zostal dostupný len zastaraný klient, považujte jeho profil za citlivý migračný materiál a požiadajte o schválenú náhradu. Nevypínajte ochrany systému, neinštalujte nepodpísaný ovládač a nepremenúvajte súbor s príponou .pcf v nádeji, že ho moderný klient naimportuje: PCF patrí k formátu starého klienta, Secure Client používa vlastný mechanizmus profilov a oba nie sú podľa prípony zameniteľné.

Oddeľte klienta od siete

Keď je podporovaný klient už nainštalovaný a väčšinou funguje, zaujímavá otázka sa mení. Zlyháva všade, alebo len v jednej prístupovej sieti? Klient, ktorý sa pripojí z domáceho pripojenia a v hoteli zlyhá, opisuje dostupnosť, nie architektúru, a preinštalovanie aplikácie nezmení filtrovanie hotela. Otestujte ten istý notebook v sieti, ktorej dôverujete, skôr než sa dotknete inštalácie.

Zachyťte zlyhanie skôr, než čokoľvek zmeníte. Vlastný protokol klienta zvyčajne pomenuje fázu, ktorá zlyhala: výber profilu, autentifikácia, nadviazanie tunela alebo zásady. Porovnajte to s úspešným pokusom z inej siete na tom istom stroji, pretože premenná, ktorú testujete, je sieť a klient je konštanta.

Zapíšte odpoveď pre ďalší tiket

Keď viete, s ktorým z troch máte do činenia, zapíšte to do tiketu spolu s nainštalovanou verziou a vydaním macOS. Ten jediný riadok zabráni ďalšiemu inžinierovi začať odznova a umožní eskaláciu k výrobcovi bez druhého kola otázok.

Potom overte jedinú vec, ktorú používateľ skutočne potrebuje: či sa aktuálny klient dostane k zdroju, a nie len či indikátor tunela zozelenel. Pre hranicu kompatibility, ktorá sa v týchto vláknach stále objavuje, je poznámka Apple o konci podpory 32-bitových aplikácií s macOS Catalina odkazom, ktorý stojí za to citovať namiesto folklóru.