VPN профил се не увози на macOS-у: прво прочитајте товар

Профил који се одбија на једном Mac-у, а прихвата на другом, обично је проблем са товаром. Упоредите XML, проверите шта је генератор додао, па проверите услугу.

Када се профил инсталира чисто на једном Mac-у, а на другом се одбије, мрежа још није достигнута, па сертификати, пролази и лозинке не заслужују кривицу. Инсталатер се зауставио на товару који није хтео да прихвати, и обично забележи који је. То оставља датотеку профила и све што ју је генерисало као једина разумна места за рад, а брисање подешавања на клијенту постаје начин да се униште докази, а не поправка.

Прочитајте профил уместо да ресетујете Mac

Извезите .mobileconfig и погледајте шта заиста садржи пре него што додирнете клијента:

plutil -p profile.mobileconfig | head -60

VPN профил су заправо два товара са различитим задацима: com.apple.vpn.managed држи везу, а com.apple.dnsSettings.managed држи конфигурацију разрешивача. Инсталација се зауставља на првом товару који инсталатер одбије, а одбијање завршава у системском дневнику са именом тог товара, па вам дневник каже који одељак да отворите. Сачувајте копију последњег профила који се ипак увезао, јер је та датотека основа према којој се мери ваша разлика.

Шта је генератор тихо додао

Apple Configurator 2.15, верзија 7A23, издао је следећи блок унутар свог DNS товара:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

На macOS-у 12.1 профили које је написала та верзија били су одбијени при увозу. Веза направљена са Configurator-ом 2.11.1 прошла је без икакве жалбе, јер то издање уопште није записивало кључ. Уклоните цео DNS речник или само спорни кључ, поново сачувајте, па покушајте поново на истом рачунару пре него што промените било шта друго. Та једна измена обично је цела поправка.

Алат има замку коју вреди знати пре него што му поверујете. Након што је кључ избрисан, чување исте везе га није вратило, и поново се појавио само када је веза створена од нуле. Сваки свеже генерисани профил сматрајте сумњивим и прегледајте га, посебно када је цела серија веза направљена у једном заседању.

MDM пут заказује на другом месту

Услуга управљања која гура исти профил може да закаже на другом месту: клијент се жали да никаква VPN услуга није створена. У пријављеном случају товар подешен за потврду идентитета сертификатом ипак је захтевао поље за лозинку; његово попуњавање заменом омогућило је примену профила, и ништа никада није искористило ту вредност за потврду идентитета.

Ако изаберете тај пут, чувајте лажан низ и никада праве акредитиве, а праву тајну држите изван тела профила. Профил који носи радну лозинку постаје датотека која се мора штитити као кључ, а то је знатно већи проблем од неуспелог увоза са којим сте почели. Одлучите коме припада та замена пре него што се профил подели, да је касније нико не схвати као вредност коју треба ротирати. Документовање зашто постоји траје један ред и штеди свађу за шест месеци.

Потврдите да је профил заиста слетео

Успешан увоз није радна услуга, зато проверите овим редом:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Прва наредба наводи инсталиране товаре; друга каже постоји ли VPN услуга уопште. Последња, покренута после повезивања, показује разрешивач који ће систем стварно користити. Читајте их тим редом и зауставите се где се ланац кида, јер услуга која недостаје чини свако питање о разрешивачу бесмисленим. Профил може бити наведен као инсталиран, а ипак не поседовати ништа употребљиво, и управо је то стање овај след намењен откривању.

Ако се тунел подигне док запис услуге још нема употребљиво име, поље приказаног имена је изгубљено при извозу, а лек је поново генерисан профил, а не преименовање на клијенту. Ако разрешивач и даље показује на локални, DNS товар је уклоњен темељније него што сте хтели.

Уводите у фазама, један Mac по један

Инсталирајте на једном управљаном Mac-у са истом верзијом ОС-а, па проверите три ствари одвојено: услуга се појављује, разрешивач се мења и један стварни унутрашњи захтев успева. Тек после сва три треба проширити обим.

То су три различита резултата која заказују на три различита начина, и зато један тестни рачунар вреди тих десет минута. Профил који се увезе није профил који ради, а рачунар прве фазе хвата обе врсте отказа пре него што остатак флоте види било који.

Повезани чланци