Ang profile ng VPN ay hindi ma-import sa macOS: basahin muna ang payload

Kapag ang isang profile ay malinis na naka-install sa isang Mac at tinanggihan sa iba, hindi pa naabot ang network, kaya ang mga sertipiko, gateway at password ay walang kasalanan. Huminto ang installer sa isang payload na ayaw nitong tanggapin, at karaniwang itinatala nito kung alin. Dahil dito, ang file ng profile at lahat ng gumawa nito ang natitirang matinong lugar para magtrabaho, at ang pagbura ng mga setting sa client ay nagiging paraan ng pagwasak ng ebidensya sa halip na pagkukumpuni.

Basahin ang profile sa halip na i-reset ang Mac

I-export ang .mobileconfig at tingnan kung ano talaga ang laman nito bago hawakan ang client:

plutil -p profile.mobileconfig | head -60

Ang profile ng VPN ay talagang dalawang payload na may magkaibang gawain: ang com.apple.vpn.managed ay may dalang koneksyon, at ang com.apple.dnsSettings.managed ay may dalang configuration ng resolver. Humihinto ang pag-install sa unang payload na tinatanggihan ng installer, at ang pagtanggi ay napupunta sa log ng system na may pangalan ng payload na iyon, kaya ang log ang nagsasabi kung aling seksyon ang bubuksan. Itabi ang kopya ng huling profile na na-import, dahil ang file na iyon ang batayan kung saan sinusukat ang inyong pagkakaiba.

Ano ang tahimik na idinagdag ng generator

Ang Apple Configurator 2.15, build 7A23, ay naglabas ng sumusunod na bloke sa loob ng payload nito sa DNS:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

Sa macOS 12.1, ang mga profile na isinulat ng build na iyon ay tinanggihan sa pag-import. Ang koneksyong ginawa gamit ang Configurator 2.11.1 ay pumasok nang walang reklamo, dahil hindi man lang isinulat ng release na iyon ang susi. Alisin ang buong diksyunaryo ng DNS o ang problemang susi lamang, i-save muli, pagkatapos subukan muli sa parehong machine bago baguhin ang anupaman. Karaniwan, ang nag-iisang pagbabagong iyon ang buong pagkukumpuni.

May bitag ang tool na dapat malaman bago ito pagkatiwalaan. Matapos burahin ang susi, hindi ito naibalik ng pag-save ng parehong koneksyon, at muling lumitaw lamang ito nang gawin ang koneksyon mula sa simula. Ituring na kahina-hinala ang bawat bagong generate na profile at siyasatin ito, lalo na kapag isang buong batch ng koneksyon ang ginawa sa isang upuan.

Nabibigo ang landas ng MDM sa ibang lugar

Ang isang serbisyo ng pamamahala na nagtutulak ng parehong profile ay maaaring mabigo sa ibang punto: nagrereklamo ang client na walang serbisyo ng VPN na nalikha. Sa iniulat na kaso, ang payload na naka-configure para sa pagpapatunay gamit ang sertipiko ay humihingi pa rin ng field ng password; ang pagpuno nito ng placeholder ay nagpahintulot na mailapat ang profile, at wala talagang gumamit ng halagang iyon para sa pagpapatunay.

Kung tatahakin ninyo ang landas na iyon, mag-imbak ng dummy na string at hindi kailanman tunay na kredensyal, at itago ang tunay na lihim sa labas ng katawan ng profile. Ang profile na may gumaganang password ay nagiging file na kailangang protektahan tulad ng susi, at iyon ay mas malaking problema kaysa sa nabigong import na sinimulan ninyo. Magpasya kung kanino ang placeholder na iyon bago ipamahagi ang profile, upang walang magkamaling ituring itong halagang dapat palitan. Ang idokumento kung bakit ito umiiral ay isang linya lamang at nakakatipid ng isang pagtatalo pagkalipas ng anim na buwan.

Tiyakin na tunay na nakarating ang profile

Ang matagumpay na import ay hindi gumaganang serbisyo, kaya suriin sa ganitong pagkakasunod-sunod:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Inililista ng unang utos ang mga naka-install na payload; sinasabi ng pangalawa kung may serbisyo ng VPN man. Ang huli, na pinapatakbo pagkatapos kumonekta, ay nagpapakita ng resolver na tunay na gagamitin ng system. Basahin ang mga ito sa ganitong pagkakasunod-sunod at huminto kung saan napuputol ang kadena, dahil ang nawawalang serbisyo ay nagpapawalang-saysay sa anumang tanong tungkol sa resolver. Maaaring nakalista ang profile bilang naka-install at wala pa ring anumang nagagamit, at iyon mismo ang kalagayang idinisenyo ng sekwens na ito upang ilantad.

Kung aakyat ang tunnel habang wala pang nagagamit na pangalan ang entry ng serbisyo, nawala ang field ng display name sa pag-export, at ang lunas ay bagong generate na profile sa halip na palitan ang pangalan sa client. Kung patuloy na tumuturo sa lokal ang resolver, ang payload ng DNS ay inalis nang mas malalim kaysa sa nilayon ninyo.

Ilunsad nang paunti-unti, isang Mac bawat pagkakataon

I-install sa isang pinamamahalaang Mac na may parehong build ng OS, pagkatapos suriin ang tatlong bagay nang hiwalay: lumilitaw ang serbisyo, nagbabago ang resolver, at isang tunay na panloob na kahilingan ang nagtagumpay. Pagkatapos lamang ng tatlo dapat palawakin ang saklaw.

Ito ay tatlong magkaibang resulta na nabibigo sa tatlong magkaibang paraan, at iyon ang dahilan kung bakit ang isang test machine ay sulit sa sampung minutong iyon. Ang profile na na-import ay hindi gumaganang profile, at ang machine sa unang yugto ay humuhuli sa dalawang uri ng kabiguan bago pa makakita ang natitirang bahagi ng fleet.