Profil VPN sa v macOS neimportuje: najprv si prečítajte payload

Keď sa profil na jednom Macu nainštaluje bez problémov a na inom je odmietnutý, sieť ešte nebola dosiahnutá, takže certifikáty, brány ani heslá za to nemôžu. Inštalátor sa zastavil na payloade, ktorý nechcel prijať, a zvyčajne zaznamená, ktorý to bol. Zostáva teda súbor profilu a všetko, čo ho vytvorilo, ako jediné rozumné pracovné miesto, a mazanie nastavení na klientovi sa stáva spôsobom ničenia dôkazov namiesto opravy.

Prečítajte si profil namiesto resetovania Macu

Exportujte .mobileconfig a pozrite sa, čo naozaj obsahuje, skôr než sa dotknete klienta:

plutil -p profile.mobileconfig | head -60

Profil VPN sú v skutočnosti dva payloady s rôznymi úlohami: com.apple.vpn.managed obsahuje pripojenie a com.apple.dnsSettings.managed obsahuje konfiguráciu resolvera. Inštalácia sa zastaví pri prvom payloade, ktorý inštalátor odmietne, a odmietnutie sa zapíše do systémového protokolu s názvom tohto payloadu, takže práve protokol vám povie, ktorú časť otvoriť. Uložte si kópiu posledného profilu, ktorý sa naozaj importoval, pretože ten súbor je základ, voči ktorému sa meria váš rozdiel.

Čo generátor potichu pridal

Apple Configurator 2.15, zostavenie 7A23, vygeneroval nasledujúci blok vo svojom DNS payloade:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

V macOS 12.1 boli profily zapísané týmto zostavením pri importe odmietnuté. Pripojenie vytvorené v Configuratore 2.11.1 prešlo bez sťažnosti, pretože toto vydanie kľúč vôbec nezapisovalo. Odstráňte celý slovník DNS alebo len problematický kľúč, znova uložte a potom to skúste na tom istom stroji, skôr než zmeníte čokoľvek iné. Zvyčajne je táto jediná úprava celou opravou.

Nástroj má pascu, ktorú sa oplatí poznať, kým mu začnete dôverovať. Po vymazaní kľúča uloženie toho istého pripojenia ho nevrátilo a znova sa objavil až vtedy, keď sa pripojenie vytvorilo od nuly. Každý čerstvo vygenerovaný profil považujte za podozrivý a prehliadnite ho, najmä keď bola celá dávka pripojení vytvorená naraz.

Cesta cez MDM zlyháva inde

Služba správy, ktorá tlačí ten istý profil, môže zlyhať na inom mieste: klient sa sťažuje, že nevznikla vôbec žiadna služba VPN. V hlásenom prípade payload nastavený na overovanie certifikátom napriek tomu vyžadoval pole pre heslo; jeho vyplnenie zástupnou hodnotou umožnilo profil použiť a nič tú hodnotu nikdy na overenie nepoužilo.

Ak sa touto cestou vydáte, uložte falošný reťazec a nikdy skutočné prihlasovacie údaje, a pravý tajný kľúč držte mimo tela profilu. Profil s funkčným heslom sa stáva súborom, ktorý treba chrániť ako kľúč, čo je podstatne väčší problém než neúspešný import, s ktorým ste začali. Rozhodnite, komu tá zástupná hodnota patrí, skôr než sa profil začne distribuovať, aby ju neskôr nikto nepovažoval za hodnotu hodnú rotácie. Zdokumentovať, prečo existuje, zaberie jeden riadok a ušetrí hádku o pol roka.

Overte, že profil skutočne pristál

Úspešný import nie je fungujúca služba, takže kontrolujte v tomto poradí:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Prvý príkaz vypíše nainštalované payloady; druhý hovorí, či vôbec existuje služba VPN. Posledný, spustený po pripojení, ukazuje resolver, ktorý systém skutočne použije. Čítajte ich v tomto poradí a zastavte sa tam, kde sa reťaz pretrhne, pretože chýbajúca služba robí akúkoľvek otázku o resolveri bezvýznamnou. Profil môže byť uvedený ako nainštalovaný a napriek tomu nevlastniť nič použiteľné, a to je presne stav, ktorý má táto postupnosť odhaliť.

Ak sa tunel zdvihne, kým záznam služby ešte nemá použiteľné meno, pole zobrazovaného mena sa pri exporte stratilo a liekom je regenerovaný profil, nie premenovanie na klientovi. Ak resolver naďalej ukazuje na lokálny, DNS payload bol odstránený dôkladnejšie, než ste zamýšľali.

Zavádzajte po etapách, jeden Mac po druhom

Nainštalujte na jednom spravovanom Macu s tým istým zostavením OS, potom overte tri veci oddelene: služba sa objaví, resolver sa zmení a jedna skutočná interná požiadavka uspeje. Až po všetkých troch sa smie rozšíriť rozsah.

To sú tri rôzne výsledky, ktoré zlyhávajú tromi rôznymi spôsobmi, a práve preto má jeden testovací stroj cenu tých desiatich minút. Profil, ktorý sa importuje, nie je profil, ktorý funguje, a stroj prvého stupňa zachytí oba druhy zlyhania skôr, než zvyšok flotily uvidí čokoľvek.