Профіль VPN не імпортується в macOS: спершу прочитайте корисне навантаження

Профіль, відхилений на одному Mac і прийнятий на іншому, зазвичай означає проблему з корисним навантаженням. Порівняйте XML, перевірте, що додав генератор, і потім перевірте службу.

Коли профіль чисто встановлюється на одному Mac і відхиляється на іншому, мережа ще не досягнута, тож сертифікати, шлюзи й паролі не варті осуду. Інсталятор зупинився на корисному навантаженні, яке не захотів приймати, і зазвичай записує, на якому саме. Так залишаються файл профілю і все, що його створило, єдиними розумними місцями для роботи, а стирання налаштувань на клієнті стає способом знищити докази, а не ремонтом.

Читайте профіль замість скидання Mac

Експортуйте .mobileconfig і подивіться, що в ньому справді є, перш ніж торкатися клієнта:

plutil -p profile.mobileconfig | head -60

Профіль VPN — це насправді два корисні навантаження з різними завданнями: com.apple.vpn.managed містить з’єднання, а com.apple.dnsSettings.managed містить конфігурацію розпізнавача. Встановлення зупиняється на першому навантаженні, яке відхиляє інсталятор, і відмова потрапляє до системного журналу з іменем цього навантаження, тож саме журнал підказує, який розділ відкривати. Збережіть копію останнього профілю, який усе ж імпортувався, бо цей файл — база, з якою порівнюється ваша різниця.

Що генератор тихо додав

Apple Configurator 2.15, збірка 7A23, видав такий блок усередині свого навантаження DNS:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

У macOS 12.1 профілі, записані цією збіркою, відхилялися під час імпорту. З’єднання, створене в Configurator 2.11.1, пройшло без жодної скарги, бо той випуск узагалі не записував ключ. Видаліть увесь словник DNS або лише проблемний ключ, збережіть знову і потім повторіть спробу на тій самій машині, перш ніж змінювати будь-що інше. Зазвичай цієї однієї правки достатньо для всього ремонту.

Інструмент має пастку, яку варто знати, перш ніж йому довіряти. Після видалення ключа збереження того самого з’єднання не повернуло його, і він з’явився знову лише тоді, коли з’єднання створили з нуля. Вважайте кожен щойно створений профіль підозрілим і переглядайте його, особливо коли цілу партію з’єднань зробили за один сеанс.

Шлях через MDM зривається в іншому місці

Служба керування, яка розсилає той самий профіль, може відмовити в іншому місці: клієнт скаржиться, що службу VPN взагалі не створено. У повідомленому випадку навантаження, налаштоване на автентифікацію сертифікатом, усе одно вимагало поле пароля; заповнення його заповнювачем дозволило застосувати профіль, і ніщо ніколи не використовувало це значення для автентифікації.

Якщо ви підете цим шляхом, зберігайте фіктивний рядок і ніколи справжні облікові дані, а справжній секрет тримайте поза тілом профілю. Профіль із робочим паролем стає файлом, який треба захищати як ключ, і це значно більша проблема, ніж невдалий імпорт, з якого ви почали. Вирішіть, кому належить цей заповнювач, до розповсюдження профілю, щоб згодом ніхто не сприйняв його за значення, яке варто змінювати. Опис того, чому він існує, займає один рядок і економить суперечку через пів року.

Переконайтеся, що профіль справді встановився

Успішний імпорт — не працююча служба, тому перевіряйте в цьому порядку:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Перша команда перелічує встановлені навантаження; друга повідомляє, чи існує взагалі служба VPN. Остання, запущена після підключення, показує розпізнавач, який система справді використовуватиме. Читайте їх у цьому порядку і зупиняйтеся там, де ланцюг рветься, бо відсутність служби робить будь-яке питання про розпізнавач безглуздим. Профіль може значитися встановленим і все ж не мати нічого придатного, і саме цей стан покликана виявити ця послідовність.

Якщо тунель піднімається, поки запис служби ще не має придатного імені, поле відображуваного імені загубилося під час експорту, і ліки — заново створений профіль, а не перейменування на клієнті. Якщо розпізнавач і далі вказує на локальний, навантаження DNS видалено ґрунтовніше, ніж ви мали на увазі.

Розгортайте поетапно, по одному Mac

Встановіть на одному керованому Mac із тією самою збіркою ОС, потім перевірте три речі окремо: служба з’являється, розпізнавач змінюється і один справжній внутрішній запит проходить. Лише після всіх трьох варто розширювати охоплення.

Це три різні результати, які відмовляють трьома різними способами, і саме тому одна тестова машина варта тих десяти хвилин. Профіль, який імпортується, — не профіль, який працює, і машина першого етапу ловить обидва види відмови, перш ніж решта парку побачить хоч один.

Схожі статті