Mac säger Cisco VPN: vilken av de tre kör du egentligen?
En inbyggd IPsec-post, den nedlagda Cisco VPN Client och Secure Client kallas alla samma sak. Identifiera ägaren innan du tillämpar gamla åtgärder.
Någon berättar att Cisco VPN är trasigt på deras Mac, och den formuleringen täcker minst tre olika objekt. Det kan betyda en profil som är inbyggd i macOS, ett program från en tidigare epok eller klienten som din organisation distribuerar i dag. Var och en har sina egna feltillstånd, och en åtgärd skriven för en är vanligtvis irrelevant för de andra två.
Så den första uppgiften är inte en åtgärd. Det är identifiering, och det tar ungefär en minut om du frågar efter rätt detaljer.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
En inbyggd etikett är inte en installerad Cisco-drivrutin
Apple levererar en VPN-typ som heter Cisco IPsec, och den är användbar, men det är Apples implementering av ett IPsec-arrangemang, inte det gamla tredjepartsprogrammet och inte det som ditt säkerhetsteam distribuerar någon annanstans. Etiketten talar om vilken konfigurationspanel du ska öppna och ingenting om leverantörens support.
Det omvända felet kostar mer. Att anta att en inbyggd post kan ersätta Secure Client hoppar över registrering, certifikathantering, posture-kontroller och den policy som gatewayen förväntar sig. En profil som organisationen skickar ut är inte likvärdig med en anslutning som någon skrivit in för hand, även när båda till slut upprättar en IPsec-tunnel. Skillnaden är osynlig i inställningspanelen och uppenbar i gatewayens egna loggar.
Fråga gatewayens ägare om tre saker: vilken Mac-klient de stöder, det exakta profilnamnet och den minsta klientversionen. Lägg till den macOS-version som användaren kör. Ett servervärdnamn ensamt beskriver inget av detta, och det är därför ärenden som bara innehåller ett värdnamn tenderar att komma tillbaka.
Gamla kärnråd hör till sitt eget årtionde
Sökresultat om Mac VPN-problem är fulla av instruktioner att hålla tangenter nedtryckta vid start, boota i en annan kärnarkitektur eller köra en hjälpare som är äldre än dagens skydd för systemintegritet. Dessa steg kommer från specifika gamla kombinationer av Mac-hårdvara och klientbyggen. Att upprepa dem nu är inte en migrering, och på en aktuell version kan somliga av dem inte utföras alls.
Det finns en besläktad gräns som är värd att känna till, eftersom den citeras i fel sammanhang. Apple dokumenterar att 32-bitars program slutade vara kompatibla med macOS från och med Catalina 10.15, så en så gammal klient kan helt enkelt inte köras där, oavsett drivrutiner eller behörigheter. Det är en gräns för programkompatibilitet, inte ett kärnlägesproblem, och att blanda de två förklaringarna ger råd som inte hjälper någon.
Om bara en föråldrad klient finns tillgänglig, behandla dess profil som känsligt migreringsmaterial och be om den godkända ersättningen. Inaktivera inte systemskydd, installera inte en osignerad drivrutin och döp inte om en fil med tillägget .pcf i hopp om att en modern klient importerar den: en PCF tillhör det gamla klientformatet, Secure Client använder sin egen profilmekanism, och de två är inte utbytbara efter tillägg.
Skilj klienten från nätverket
När den stödda klienten redan är installerad och till största delen fungerar, ändras den intressanta frågan. Misslyckas den överallt, eller bara på ett åtkomstnätverk? En klient som ansluter från en hemanslutning och misslyckas på ett hotell beskriver nåbarhet, inte arkitektur, och att installera om programmet ändrar inte hotellets filtrering. Testa samma bärbara dator på ett nätverk du litar på innan du rör installationen.
Fånga felet innan du ändrar något. Klientens egen logg namnger vanligtvis den fas som misslyckades: profilval, autentisering, tunneletablering eller policy. Jämför det med ett lyckat försök från ett annat nätverk på samma maskin, eftersom variabeln du testar är nätverket, och klienten är konstanten.
Skriv ner svaret för nästa ärende
När du vet vilken av de tre du har att göra med, anteckna det i ärendet tillsammans med installerad version och macOS-utgåva. Den enda raden hindrar nästa ingenjör från att börja om, och gör en eskalering till leverantören möjlig utan en andra frågerunda.
Kontrollera sedan det enda användaren faktiskt behöver: om den nuvarande klienten kan nå resursen, och inte bara om tunnelindikatorn blev grön. För den kompatibilitetsgräns som ständigt dyker upp i dessa trådar är Apples anteckning om slutet på 32-bitars appstöd med macOS Catalina den referens som är värd att citera i stället för folklorematerial.