VPN profili macOS’ta içe aktarılamıyor: önce yükü okuyun

Bir Mac’te reddedilip başka birinde kabul edilen profil genellikle bir yük sorunudur. XML’i karşılaştırın, oluşturucunun ne eklediğine bakın, sonra hizmeti doğrulayın.

Bir profil bir Mac’te sorunsuz kurulup başka birinde reddedildiğinde ağa henüz ulaşılmamıştır, bu yüzden sertifikalar, ağ geçitleri ve parolalar suçlanmayı hak etmez. Yükleyici kabul etmeyeceği bir yükte durdu ve genellikle hangisi olduğunu kaydeder. Böylece profil dosyası ve onu oluşturan her şey çalışmak için tek makul yer olarak kalır ve istemcideki ayarları silmek onarım yerine kanıt yok etme yöntemine dönüşür.

Mac’i sıfırlamak yerine profili okuyun

.mobileconfig dosyasını dışa aktarın ve istemciye dokunmadan önce içinde gerçekten ne olduğuna bakın:

plutil -p profile.mobileconfig | head -60

VPN profili aslında farklı işler yapan iki yüktür: com.apple.vpn.managed bağlantıyı tutar, com.apple.dnsSettings.managed çözümleyici yapılandırmasını tutar. Kurulum, yükleyicinin reddettiği ilk yükte durur ve ret, o yükün adıyla sistem günlüğüne düşer, yani hangi bölümü açacağınızı günlük söyler. Son başarıyla içe aktarılan profilin bir kopyasını saklayın, çünkü o dosya farkınızın ölçüldüğü temeldir.

Oluşturucunun sessizce ekledikleri

Apple Configurator 2.15, 7A23 derlemesi, DNS yükünün içinde şu bloğu yayımladı:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

macOS 12.1’de o derlemenin yazdığı profiller içe aktarımda reddedildi. Configurator 2.11.1 ile yapılan bağlantı hiçbir şikâyet olmadan içeri girdi, çünkü o sürüm anahtarı hiç yazmıyordu. Tüm DNS sözlüğünü ya da yalnızca sorunlu anahtarı kaldırın, yeniden kaydedin ve başka bir şeyi değiştirmeden önce aynı makinede yeniden deneyin. Genellikle tek düzeltme tüm onarımdır.

Aracın, ona güvenmeden önce bilinmesi gereken bir tuzağı var. Anahtar silindikten sonra aynı bağlantıyı kaydetmek onu geri getirmedi ve yalnızca bağlantı sıfırdan oluşturulduğunda yeniden ortaya çıktı. Yeni oluşturulan her profili şüpheli sayın ve inceleyin, özellikle de bir oturumda bir grup bağlantı oluşturulduysa.

MDM yolu başka bir yerde başarısız olur

Aynı profili iten bir yönetim hizmeti başka bir noktada başarısız olabilir: istemci hiçbir VPN hizmetinin oluşturulmadığından yakınır. Bildirilen vakada sertifika ile kimlik doğrulama için yapılandırılmış bir yük yine de bir parola alanı istiyordu; onu bir yer tutucuyla doldurmak profilin uygulanmasını sağladı ve hiçbir şey o değeri kimlik doğrulama için kullanmadı.

Bu yolu seçerseniz bir sahte dize saklayın ve asla gerçek kimlik bilgisi saklamayın, gerçek sırrı da profilin gövdesinin dışında tutun. Çalışan bir parola taşıyan profil, anahtar gibi korunması gereken bir dosyaya dönüşür ve bu, başladığınız başarısız içe aktarımdan çok daha büyük bir sorundur. Profil dağıtılmadan önce o yer tutucunun kime ait olduğuna karar verin ki sonradan kimse onu değiştirilmesi gereken bir değer sanmasın. Neden var olduğunu belgelemek bir satır alır ve altı ay sonra bir tartışmayı önler.

Profilin gerçekten yerleştiğini doğrulayın

Başarılı içe aktarma çalışan bir hizmet değildir, bu yüzden şu sırayla kontrol edin:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

İlk komut kurulu yükleri listeler; ikincisi hiç VPN hizmeti olup olmadığını söyler. Sonuncusu, bağlandıktan sonra çalıştırıldığında sistemin gerçekten kullanacağı çözümleyiciyi gösterir. Bunları bu sırayla okuyun ve zincirin koptuğu yerde durun, çünkü eksik bir hizmet çözümleyiciyle ilgili her soruyu anlamsız kılar. Bir profil kurulu olarak listelenip yine de kullanılabilir hiçbir şeye sahip olmayabilir ve bu dizi tam olarak o durumu açığa çıkarmak için tasarlanmıştır.

Hizmet girdisinin henüz kullanılabilir bir adı yokken tünel açılırsa, görünen ad alanı dışa aktarımda kaybolmuştur ve çare istemcide ad değiştirmek değil, yeniden oluşturulmuş bir profildir. Çözümleyici hâlâ yerel olana işaret ediyorsa, DNS yükü amaçladığınızdan daha derinlemesine kaldırılmıştır.

Dağıtımı aşamalı yapın, her seferinde bir Mac

Bir yönetilen Mac’e aynı işletim sistemi derlemesiyle kurun, sonra üç şeyi ayrı ayrı kontrol edin: hizmet görünüyor, çözümleyici değişiyor ve bir gerçek iç istek başarılı oluyor. Ancak üçünden sonra kapsam genişletilmelidir.

Bunlar üç farklı şekilde başarısız olan üç farklı sonuçtur ve tek bir test makinesini o on dakikaya değer kılan da budur. İçe aktarılabilen bir profil çalışan bir profil değildir ve birinci aşama makinesi iki arıza türünü de filosunun geri kalanı herhangi birini görmeden yakalar.

İlgili makaleler