macOS پر VPN پروفائل درآمد نہیں ہوتی: پہلے پے لوڈ پڑھیں

جب کوئی پروفائل ایک Mac پر بغیر رکاوٹ انسٹال ہو اور دوسرے پر مسترد ہو جائے تو نیٹ ورک تک ابھی پہنچا ہی نہیں، اس لیے سرٹیفکیٹس، گیٹ ویز اور پاس ورڈز کو کوئی قصور نہیں۔ انسٹالر اس پے لوڈ پر رکا جو وہ قبول نہیں کرتا تھا، اور عام طور پر لکھتا ہے کہ کون سا تھا۔ اس سے پروفائل فائل اور جو کچھ اسے بنایا، کام کرنے کی واحد معقول جگہیں رہ جاتی ہیں، اور کلائنٹ پر سیٹنگز مٹانا مرمت کے بجائے ثبوت مٹانے کا طریقہ بن جاتا ہے۔

Mac ری سیٹ کرنے کے بجائے پروفائل پڑھیں

.mobileconfig ایکسپورٹ کریں اور کلائنٹ کو چھونے سے پہلے دیکھیں کہ اس میں واقعی کیا ہے:

plutil -p profile.mobileconfig | head -60

VPN پروفائل دراصل مختلف کام کرنے والے دو پے لوڈ ہیں: com.apple.vpn.managed کنکشن رکھتا ہے، اور com.apple.dnsSettings.managed ریزولور کی ترتیب رکھتا ہے۔ انسٹالیشن اس پہلے پے لوڈ پر رکتی ہے جسے انسٹالر مسترد کرتا ہے، اور مسترد ہونا اسی پے لوڈ کے نام کے ساتھ سسٹم لاگ میں جاتا ہے، اس لیے لاگ ہی بتاتا ہے کہ کون سا حصہ کھولنا ہے۔ آخری کامیاب درآمد شدہ پروفائل کی نقل رکھیں، کیونکہ وہی فائل آپ کے فرق کی پیمائش کی بنیاد ہے۔

جنریٹر نے خاموشی سے کیا شامل کیا

Apple Configurator 2.15 بلڈ 7A23 نے اپنے DNS پے لوڈ کے اندر یہ بلاک جاری کیا:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

macOS 12.1 پر اس بلڈ کی لکھی ہوئی پروفائلیں درآمد کے وقت مسترد ہوئیں۔ Configurator 2.11.1 سے بنایا گیا کنکشن بغیر کسی شکایت کے اندر چلا گیا، کیونکہ وہ ریلیز کلید بالکل نہیں لکھتی تھی۔ پورا DNS لغت یا صرف مسئلے والی کلید ہٹائیں، دوبارہ محفوظ کریں، اور پھر کچھ اور بدلنے سے پہلے اسی مشین پر دوبارہ کوشش کریں۔ عام طور پر وہی ایک ترمیم پوری مرمت ہوتی ہے۔

اس ٹول میں ایک جال ہے جو اس پر بھروسہ کرنے سے پہلے جاننا چاہیے۔ کلید حذف ہونے کے بعد اسی کنکشن کو محفوظ کرنے سے وہ واپس نہیں آئی، اور وہ صرف اس وقت دوبارہ نمودار ہوئی جب کنکشن شروع سے بنایا گیا۔ ہر نئی بنی پروفائل کو مشتبہ سمجھیں اور اس کا معائنہ کریں، خاص طور پر جب ایک ہی نشست میں کنکشنز کا پورا بیچ بنایا گیا ہو۔

MDM راستہ کہیں اور ناکام ہوتا ہے

وہی پروفائل دھکیلنے والی مینجمنٹ سروس کسی دوسری جگہ ناکام ہو سکتی ہے: کلائنٹ شکایت کرتا ہے کہ کوئی VPN سروس ہی نہیں بنی۔ جس واقعے کی اطلاع دی گئی اس میں سرٹیفکیٹ کی تصدیق کے لیے ترتیب دیا گیا پے لوڈ پھر بھی پاس ورڈ فیلڈ مانگ رہا تھا؛ اسے پلیس ہولڈر سے بھرنے پر پروفائل لاگو ہوئی، اور کسی نے کبھی اس قدر کو تصدیق کے لیے استعمال نہیں کیا۔

اگر آپ وہ راستہ اختیار کریں تو ایک ڈمی سٹرنگ رکھیں اور کبھی اصلی اسناد نہیں، اور اصل راز پروفائل کے جسم سے باہر رکھیں۔ کام کرنے والا پاس ورڈ رکھنے والی پروفائل ایسی فائل بن جاتی ہے جسے کلید کی طرح محفوظ رکھنا پڑتا ہے، اور یہ اس ناکام درآمد سے کہیں بڑا مسئلہ ہے جس سے آپ نے آغاز کیا۔ پروفائل تقسیم ہونے سے پہلے طے کریں کہ وہ پلیس ہولڈر کس کا ہے، تاکہ بعد میں کوئی اسے بدلنے کے قابل قدر نہ سمجھے۔ یہ کیوں موجود ہے اس کی دستاویز ایک سطر لیتی ہے اور چھ ماہ بعد ایک بحث بچاتی ہے۔

تصدیق کریں کہ پروفائل واقعی پہنچی ہے

کامیاب درآمد کا مطلب کام کرنے والی سروس نہیں، اس لیے اس ترتیب سے جانچیں:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

پہلا حکم نصب شدہ پے لوڈ کی فہرست دیتا ہے؛ دوسرا بتاتا ہے کہ کوئی VPN سروس ہے بھی یا نہیں۔ آخری، جوڑنے کے بعد چلایا گیا، وہ ریزولور دکھاتا ہے جو نظام واقعی استعمال کرے گا۔ انہیں اسی ترتیب سے پڑھیں اور وہیں رکیں جہاں زنجیر ٹوٹتی ہے، کیونکہ سروس نہ ہونا ریزولور کے بارے میں ہر سوال کو بے معنی کر دیتا ہے۔ کوئی پروفائل نصب شدہ کے طور پر درج ہو کر بھی قابل استعمال کچھ نہیں رکھ سکتی، اور یہی وہ حالت ہے جسے یہ ترتیب سامنے لانے کے لیے بنائی گئی ہے۔

اگر سروس اندراج میں ابھی قابل استعمال نام نہ ہو تو سرنگ اوپر آ جائے، تو دکھائے جانے والے نام کا فیلڈ ایکسپورٹ میں گم ہو گیا ہے، اور علاج کلائنٹ پر نام بدلنا نہیں بلکہ پروفائل دوبارہ بنانا ہے۔ اگر ریزولور مقامی کی طرف ہی اشارہ کرتا رہے تو DNS پے لوڈ آپ کی نیت سے زیادہ گہرائی سے ہٹایا گیا ہے۔

تعیناتی مرحلہ وار کریں، ایک وقت میں ایک Mac

ایک زیرِ انتظام Mac پر اسی OS بلڈ کے ساتھ انسٹال کریں، پھر تین چیزیں الگ الگ جانچیں: سروس ظاہر ہوتی ہے، ریزولور بدلتا ہے، اور ایک حقیقی داخلی درخواست کامیاب ہوتی ہے۔ تینوں کے بعد ہی دائرہ بڑھانا چاہیے۔

یہ تین مختلف نتائج ہیں جو تین مختلف طریقوں سے ناکام ہوتے ہیں، اور اسی لیے ایک آزمائشی مشین ان دس منٹ کے لائق ہے۔ درآمد ہونے والی پروفائل کام کرنے والی پروفائل نہیں، اور پہلے مرحلے کی مشین باقی بیڑے کو کچھ دکھنے سے پہلے دونوں قسم کی ناکامی پکڑ لیتی ہے۔