Skriptingiz VPNni ishga tushiradi; uni tayyorlamaydi

Siz ulanish nomi bilan scutil --nc start ishga tushiradigan skript yozasiz, u Mac kompyuteringizda ishlaydi va ofisdagi har bir yangi o'rnatilgan mashinada muvaffaqiyatsiz tugaydi. Skript buzuq emas. Undan hech qachon qila olmagan narsa so'raladi: mavjud ulanishni ishga tushirish yangisini yaratish bilan bir xil operatsiya emas.

Tayyorlash va sessiya boshqaruvi ikki egasi bor ikki ish, va buning aksini deb hisoblaydigan ish oqimi yozilgan mashinada barcha sinovlardan o'tadi.

Ishga tushirish buyrug'i aslida kim bilan gaplashadi

Sessiya boshqaruvi buyrug'i allaqachon mavjud va allaqachon tasdiqlangan konfiguratsiyaga murojaat qiladi. U tizimdan o'sha nomlangan ulanishni ko'tarishni so'raydi, avval saqlangan server sozlamalari, shaxs havolalari va siyosatdan foydalanib. Agar ular hech qachon o'rnatilmagan bo'lsa, ishga tushiradigan narsa yo'q.

Shuning uchun nosozlik yangi uskunada ko'rinadi, administratorning noutbukida emas. Noutbuk oylar oldin buni qilganini unutgan kishi tomonidan tayyorlangan edi. Ishga tushirish buyrug'ini o'tgan chorakda kimdir sim tortgan eshik qo'ng'irog'i deb tasavvur qiling. Uni bosish sim yotqizish bilan bir xil emas.

VPN konfiguratsiyasining uch egasi

Tashkilot boshqaradigan profil qurilmalar boshqaruvidan keladi. Profil server manzillarini, autentifikatsiya tartibini va tashkilot talab qiladigan siyosatni olib yuradi, VPN administratori esa ularni taqdim etadigan shaxsdir. Skript bu sozlamalarni ro'yxatda topgan ko'rsatish nomidan qayta qurmasligi kerak.

Mahalliy shaxsiy VPN konfiguratsiyasi Apple'ning Network Extension API orqali yaratiladi, u o'rnatilgan IPsec va IKEv2 protokollarini qamrab oladi. Bu saqlash bosqichi va foydalanuvchi tasdiqlashi bo'lgan ilova interfeysi, sotuvchi taqdim etadigan har qanday tunnel turini jimgina yaratadigan shell buyrug'i emas.

Uchinchi tomon mijozi o'z import formati, o'z boshqaruv asbobi va ko'pincha o'z imtiyozli yordamchisi bo'lgan uchinchi holatdir. Uning sessiyasi o'sha sotuvchining jarayoniga tegishli. O'xshash nomli tizim xizmatini topish tizim buyrug'i tunnelni boshqaradi degan dalil emas, va buni deb hisoblash sotuvchi mijozni yangilamaguncha ishlayotgandek ko'rinadigan skriptlar yaratadi.

Mahalliy tayyorlashda saqlash va tasdiqlash bor

Apple modeli — yukla, o'zgartir, saqla. Ilova ishga tushgandan keyingi birinchi saqlashidan oldin mavjud sozlamalarni yuklaydi, konfiguratsiyani o'zgartiradi va keyin uni saqlaydi. Saqlash saqlab qola olmasa xato haqida xabar beradi va bu natijani e'tiborsiz qoldirish tayyorlash nosozligini uch qadamdan keyin ulanish nosozligiga aylantiradi.

Birinchi saqlash foydalanuvchining ilovani tasdiqlashini ham talab qiladi. Bu atayin qo'yilgan xavfsizlik chegarasi, va bu yangi Mac'da birinchi ishga tushirish interaktiv ekanligini bildiradi, keyingi har bir ulanish va uzilish avtomatlashtirilishi mumkin bo'lsa ham. Birinchi ishga tushirishni inson ishtirok etadigan insoniy vazifa sifatida rejalashtiring. Ikkinchi ishga tushirishdan avtomatlashtiring, va hech kim imkonsiz narsani va'da qilmasligi uchun buni runbook'da yozing. To'liq nazoratsiz birinchi ishga tushirishni va'da qiladigan joylashtirish rejasi platforma taklif qilmaydigan narsani va'da qiladi.

Apple, shuningdek, API'ga tayanishdan oldin server mosligini konfiguratsiya profili bilan tekshirishni tavsiya qiladi. Bu tekshiruvni birinchi qilish «server bu mijozni qabul qilmaydi» va «mijoz sozlamalarni hech qachon saqlamagan» holatlarini ajratadi, va bular turli jamoalar uchun turli chiptalardir.

Takrorlanadigan ishga tushirish buyrug'i nimani deb hisoblashi mumkin

Tayyorlashdan keyin skript o'z egasining interfeysi orqali mavjud ulanishni xavfsiz nishonga olishi mumkin. Unga ulanishning barqaror identifikatorini va xohlagan amalni bering, boshqa hech narsa yo'q. U taxmin qilingan sozlamalar yo'lini o'qimasligi va menyuda ko'rsatilgan nom butun tizimda yagona deb hisoblamasligi kerak.

Mahalliy ulanishlar uchun scutil --nc start kabi nomlangan sessiya so'rovi boshqaruv operatsiyasidir. U server sozlamalarini o'rnatmaydi, hisob ma'lumotlarini import qilmaydi va birinchi saqlashning avtorizatsiyasini bajarmaydi. Unga zanjirning oxirgi qadami sifatida qarang, hech qachon butun zanjir sifatida emas.

Sirlarni buyruq satri argumentlaridan va oddiy diagnostika chiqishidan uzoqda saqlang. Joylashtirish qaysi identifikatsiya mexanizmini tanlagan bo'lsa, ishga tushirish buyrug'i o'shanga tayanishi kerak, va shell tarixiga yopishtirilgan parol har qanday ko'rikda topilma hisoblanadi.

Ikki qabul tekshiruvi

Birinchi tekshiruv — tayyorlash: yangi o'rnatilgan Mac olib, konfiguratsiya mavjudligini, to'g'ri menejerga tegishliligini va to'liq tasdiqlanganligini isbotlang. Buni ulanishni sinashdan oldin qiling, chunki tayyorlanmagan mashinada ulanish sinovi skript haqida hech narsani isbotlamaydi.

Ikkinchi tekshiruv — sessiya: ulanib, ruxsat etilgan resursga yeting va toza uzilib chiqing. Endi har bir nosozlikning egasi bor, va bu ikki ishni ajratishning amaliy foydasi. Yo'q profil yetkazib berish muammosi, saqlash xatosi tasdiqlash muammosi, rad etilgan kirish autentifikatsiya muammosi, va muvaffaqiyatli ishga tushirishdan keyingi taym-aut sessiya qatlami. Ularning hech biri «skript buzuq» emas.