Profil VPN se v macOS ne uvozi: najprej preberite payload

Profil, ki je zavrnjen na enem Macu in sprejet na drugem, je običajno težava s payloadom. Primerjajte XML, preverite, kaj je dodal generator, in nato preverite storitev.

Ko se profil na enem Macu namesti brez težav, na drugem pa je zavrnjen, omrežje še ni doseženo, zato potrdila, prehodi in gesla niso krivi. Namestitveni program se je ustavil pri payloadu, ki ga ni hotel sprejeti, in običajno zapiše, kateri je bil. Tako ostaneta datoteka profila in vse, kar jo je ustvarilo, edini smiselni delovni mesti, brisanje nastavitev na odjemalcu pa postane način uničevanja dokazov namesto popravila.

Preberite profil, namesto da ponastavite Mac

Izvezite .mobileconfig in poglejte, kaj v resnici vsebuje, preden se dotaknete odjemalca:

plutil -p profile.mobileconfig | head -60

Profil VPN sta v resnici dva payloada z različnimi nalogami: com.apple.vpn.managed vsebuje povezavo, com.apple.dnsSettings.managed pa vsebuje konfiguracijo razreševalnika. Namestitev se ustavi pri prvem payloadu, ki ga namestitveni program zavrne, zavrnitev pa pride v sistemski dnevnik z imenom tega payloada, zato vam dnevnik pove, kateri razdelek odpreti. Shranite kopijo zadnjega profila, ki se je vendarle uvozil, ker je ta datoteka osnova, s katero se meri vaša razlika.

Kaj je generator tiho dodal

Apple Configurator 2.15, različica 7A23, je v svojem DNS payloadu izdal naslednji blok:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

V macOS 12.1 so bili profili, ki jih je zapisala ta različica, pri uvozu zavrnjeni. Povezava, ustvarjena s Configuratorjem 2.11.1, je šla noter brez pritožbe, ker ta izdaja ključa sploh ni zapisala. Odstranite celoten slovar DNS ali samo problematični ključ, znova shranite in nato poskusite še enkrat na istem stroju, preden spremenite kar koli drugega. Običajno je ta ena sprememba celotno popravilo.

Orodje ima past, ki jo je vredno poznati, preden mu zaupate. Potem ko je bil ključ izbrisan, shranjevanje iste povezave ga ni vrnilo, in znova se je pojavil šele, ko je bila povezava ustvarjena od začetka. Vsak sveže ustvarjen profil obravnavajte kot sumljiv in ga pregledajte, še posebej kadar je bila cela serija povezav ustvarjena naenkrat.

Pot prek MDM odpove drugje

Upravljalna storitev, ki potiska isti profil, lahko odpove na drugem mestu: odjemalec se pritožuje, da storitev VPN sploh ni bila ustvarjena. V sporočenem primeru je payload, nastavljen za preverjanje s potrdilom, vseeno zahteval polje za geslo; njegova zapolnitev z nadomestno vrednostjo je omogočila uporabo profila in nič te vrednosti ni nikoli uporabilo za preverjanje.

Če uberete to pot, shranite lažni niz in nikoli resničnih poverilnic, pravo skrivnost pa hranite zunaj telesa profila. Profil z delujočim geslom postane datoteka, ki jo je treba zaščititi kot ključ, in to je precej večja težava od neuspelega uvoza, s katerim ste začeli. Odločite, komu pripada ta nadomestna vrednost, preden se profil razpošlje, da je pozneje nihče ne bo imel za vrednost, ki si zasluži rotacijo. Dokumentiranje, zakaj obstaja, vzame eno vrstico in prihrani prepir čez pol leta.

Potrdite, da je profil res pristal

Uspešen uvoz ni delujoča storitev, zato preverite v tem vrstnem redu:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Prvi ukaz našteje nameščene payloade; drugi pove, ali storitev VPN sploh obstaja. Zadnji, zagnan po povezavi, pokaže razreševalnik, ki ga bo sistem res uporabil. Berite jih v tem vrstnem redu in ustavite se tam, kjer se veriga pretrga, ker manjkajoča storitev naredi vsako vprašanje o razreševalniku nesmiselno. Profil je lahko naveden kot nameščen in vseeno ne poseduje nič uporabnega, in prav to stanje naj bi to zaporedje razkrilo.

Če se tunel dvigne, medtem ko vnos storitve še nima uporabnega imena, je polje prikazanega imena izgubljeno pri izvozu, in zdravilo je znova ustvarjen profil, ne preimenovanje na odjemalcu. Če razreševalnik še naprej kaže na lokalnega, je bil DNS payload odstranjen temeljiteje, kot ste nameravali.

Uvajajte po fazah, en Mac naenkrat

Namestite na en upravljani Mac s isto različico OS, nato preverite tri stvari ločeno: storitev se pojavi, razreševalnik se spremeni in ena resnična notranja zahteva uspe. Šele po vseh treh se sme razširiti obseg.

To so trije različni rezultati, ki odpovejo na tri različne načine, in zato je en testni stroj vreden tistih desetih minut. Profil, ki se uvozi, ni profil, ki deluje, in stroj prve faze ujame obe vrsti okvare, preden preostala flota vidi katero koli.

Sorodni članki