Profili VPN nuk importohet në macOS: lexoni fillimisht ngarkesën

Kur një profil instalohet pa probleme në një Mac dhe refuzohet në një tjetër, rrjeti nuk është arritur ende, pra certifikatat, portat dhe fjalëkalimet nuk kanë asnjë faj. Instaluesi u ndal në një ngarkesë që nuk deshi ta pranonte, dhe zakonisht regjistron cilën. Kjo i lë skedarin e profilit dhe gjithçka që e krijoi si të vetmet vende të arsyeshme për punë, dhe fshirja e cilësimeve në klient bëhet mënyrë për të shkatërruar provat në vend të një riparimi.

Lexoni profilin në vend që të rivendosni Mac-in

Eksportoni .mobileconfig dhe shikoni çfarë mban në të vërtetë përpara se të prekni klientin:

plutil -p profile.mobileconfig | head -60

Një profil VPN është në të vërtetë dy ngarkesa me detyra të ndryshme: com.apple.vpn.managed mban lidhjen, dhe com.apple.dnsSettings.managed mban konfigurimin e zgjidhësit. Instalimi ndalon në ngarkesën e parë që instaluesi refuzon, dhe refuzimi shkon në regjistrin e sistemit me emrin e asaj ngarkese, pra regjistri është ai që ju thotë cilën pjesë të hapni. Ruani një kopje të profilit të fundit që u importua, sepse ai skedar është baza me të cilën matet diferenca juaj.

Çfarë shtoi gjeneruesi në heshtje

Apple Configurator 2.15, ndërtimi 7A23, lëshoi bllokun e mëposhtëm brenda ngarkesës së tij DNS:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

Në macOS 12.1, profilet e shkruara nga ai ndërtim u refuzuan gjatë importimit. Lidhja e krijuar me Configurator 2.11.1 hyri pa asnjë ankesë, sepse ai botim nuk e shkruante fare çelësin. Hiqni të gjithë fjalorin DNS ose vetëm çelësin problematik, ruajeni përsëri dhe pastaj provoni përsëri në të njëjtën makinë përpara se të ndryshoni çdo gjë tjetër. Zakonisht ai ndryshim i vetëm është i gjithë riparimi.

Mjeti ka një kurth që ia vlen ta njihni përpara se t’i besoni. Pasi çelësi u fshi, ruajtja e së njëjtës lidhje nuk e ktheu atë, dhe ai u shfaq përsëri vetëm kur u krijua një lidhje nga e para. Trajtoni çdo profil të sapokrijuar si të dyshimtë dhe inspektojeni, sidomos kur një grumbull i tërë lidhjesh u krijua në një seancë të vetme.

Rruga MDM dështon diku tjetër

Një shërbim administrimi që shtyn të njëjtin profil mund të dështojë në një pikë tjetër: klienti ankohet se nuk u krijua fare shërbim VPN. Në rastin e raportuar, një ngarkesë e konfiguruar për vërtetim me certifikatë kërkonte gjithsesi një fushë fjalëkalimi; plotësimi i saj me një zëvendësues lejoi që profili të zbatohej, dhe asgjë nuk e përdori atë vlerë për vërtetim.

Nëse zgjidhni atë rrugë, ruani një varg të rremë dhe kurrë kredenciale reale, dhe mbajeni sekretin e vërtetë jashtë trupit të profilit. Një profil që mban një fjalëkalim funksional bëhet një skedar që duhet mbrojtur si çelës, dhe ky është një problem shumë më i madh se importi i dështuar me të cilin filluat. Vendosni kujt i përket ai zëvendësues përpara se profili të shpërndahet, që më vonë askush të mos e ngatërrojë me një vlerë që meriton rrotullim. Dokumentimi i arsyes pse ekziston kushton një rresht dhe kursen një grindje pas gjashtë muajsh.

Konfirmoni se profili ka mbërritur vërtet

Një import i suksesshëm nuk është shërbim që funksionon, prandaj kontrolloni në këtë rend:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Komanda e parë rendit ngarkesat e instaluara; e dyta thotë nëse ekziston fare shërbim VPN. E fundit, e ekzekutuar pas lidhjes, tregon zgjidhësin që sistemi do të përdorë vërtet. Lexoni ato në këtë rend dhe ndaloni aty ku zinxhiri thyhet, sepse një shërbim që mungon e bën çdo pyetje rreth zgjidhësit të pakuptimtë. Një profil mund të jetë i listuar si i instaluar dhe gjithsesi të mos zotërojë asgjë të përdorshme, dhe pikërisht ky është gjendja që ky sekuencë është krijuar të zbuloje.

Nëse tuneli ngrihet ndërsa një zë shërbimi ende nuk ka emër të përdorshëm, fusha e emrit të shfaqur u humb gjatë eksportimit, dhe ilaçi është një profil i rigjeneruar dhe jo një riemërtim në klient. Nëse zgjidhësi vazhdon të tregojë nga ai lokal, ngarkesa DNS u hoq më thellësisht sesa kishit ndërmend.

Vendosni në fazë, një Mac në një kohë

Instalojeni në një Mac të administruar që ekzekuton të njëjtin ndërtim të sistemit, pastaj kontrolloni tre gjëra veçmas: shërbimi shfaqet, zgjidhësi ndryshon dhe një kërkesë e vërtetë e brendshme ka sukses. Vetëm pas të trejave duhet zgjeruar fushëveprimi.

Këto janë tre rezultate të ndryshme që dështojnë në tre mënyra të ndryshme, dhe kjo është ajo që e bën një makinë testuese të vlefshme për ato dhjetë minuta. Një profil që importohet nuk është profil që funksionon, dhe makina e fazës së parë i kap të dy llojet e dështimit përpara se pjesa tjetër e flotës të shohë ndonjë.