Mac каже Cisco VPN: який із трьох ви насправді запускаєте?
Вбудований запис IPsec, знятий з підтримки Cisco VPN Client і Secure Client усі називаються однаково. Визначте власника, перш ніж застосовувати старі виправлення.
Хтось каже вам, що Cisco VPN зламано на його Mac, і ця фраза охоплює щонайменше три різні об’єкти. Вона може означати профіль, вбудований у macOS, застосунок із попередньої епохи або клієнт, який ваша організація розгортає сьогодні. Кожен має власні режими відмови, і виправлення, написане для одного, зазвичай не стосується двох інших.
Тож перше завдання — не виправлення. Це ідентифікація, і вона займає близько хвилини, якщо запитати правильні деталі.
| What the user has | What actually needs identifying |
|---|---|
| An entry under System Settings with a Cisco IPsec type | The native profile's protocol and the authentication settings the administrator supplied |
| The old Cisco VPN Client application | Whether that product is supported at all on the installed macOS release |
| Cisco Secure Client, formerly AnyConnect | The installed release, the managed profile and the gateway service in use |
Вбудована позначка — не встановлений драйвер Cisco
Apple постачає тип VPN під назвою Cisco IPsec, і він корисний, але це реалізація Apple конфігурації IPsec, а не старий сторонній застосунок і не те, що ваша команда безпеки розгортає деінде. Позначка підказує, яку панель налаштувань відкрити, і нічого не каже про підтримку виробника.
Зворотна помилка коштує дорожче. Припущення, що вбудований запис може замінити Secure Client, пропускає реєстрацію, роботу із сертифікатами, перевірки постави й політику, яку очікує шлюз. Профіль, розісланий організацією, не еквівалентний з’єднанню, введеному вручну, навіть якщо обидва зрештою встановлюють тунель IPsec. Ця різниця невидима на панелі налаштувань і очевидна в журналах самого шлюзу.
Запитайте у власника шлюзу три речі: який клієнт Mac він підтримує, точну назву профілю й мінімальну версію клієнта. Додайте версію macOS, яку використовує користувач. Сама лише назва хоста сервера не описує нічого з цього, тому заявки, що містять лише назву хоста, часто повертаються.
Старі поради щодо ядра належать своєму десятиліттю
Результати пошуку про проблеми VPN на Mac повні інструкцій утримувати клавіші під час запуску, завантажуватися в іншу архітектуру ядра або запускати помічник, старіший за нинішні засоби захисту цілісності системи. Ці кроки походять із конкретних старих комбінацій обладнання Mac і збірок клієнта. Повторювати їх зараз — не міграція, і на поточній версії деякі з них узагалі неможливо виконати.
Є пов’язана межа, яку варто знати, бо її цитують у неправильному контексті. Apple документує, що 32-бітні застосунки перестали бути сумісними з macOS починаючи з Catalina 10.15, тож такий старий клієнт просто не може там працювати незалежно від драйверів чи дозволів. Це межа сумісності застосунків, а не проблема режиму ядра, і змішування двох пояснень дає поради, які нікому не допомагають.
Якщо залишився лише застарілий клієнт, ставтеся до його профілю як до чутливого матеріалу міграції та попросіть затверджену заміну. Не вимикайте захист системи, не встановлюйте драйвер без підпису й не перейменовуйте файл із розширенням .pcf у надії, що сучасний клієнт його імпортує: PCF належить до формату старого клієнта, Secure Client використовує власний механізм профілів, і ці двоє не взаємозамінні за розширенням.
Відокремте клієнт від мережі
Коли підтримуваний клієнт уже встановлено й він переважно працює, цікаве питання змінюється. Він відмовляє всюди чи лише в одній мережі доступу? Клієнт, який підключається з домашнього з’єднання й відмовляє в готелі, описує доступність, а не архітектуру, і перевстановлення застосунку не змінить фільтрацію готелю. Перевірте той самий ноутбук у мережі, якій довіряєте, перш ніж торкатися встановлення.
Зафіксуйте збій, перш ніж щось змінювати. Журнал самого клієнта зазвичай називає етап, який не вдався: вибір профілю, автентифікація, встановлення тунелю або політика. Порівняйте це з успішною спробою з іншої мережі на тій самій машині, бо змінна, яку ви перевіряєте, — це мережа, а клієнт — константа.
Запишіть відповідь для наступної заявки
Коли ви знаєте, з яким із трьох маєте справу, зафіксуйте це в заявці разом зі встановленою версією та випуском macOS. Цей один рядок не дає наступному інженеру почати з нуля й уможливлює ескалацію до виробника без другого кола питань.
Потім перевірте єдине, що користувачеві справді потрібно: чи може поточний клієнт дістатися до ресурсу, а не просто чи став індикатор тунелю зеленим. Для межі сумісності, яка постійно з’являється в цих обговореннях, нотатка Apple про припинення підтримки 32-бітних застосунків із macOS Catalina — це джерело, на яке варто посилатися замість фольклору.