VPN profili macOS’da import qilinmaydi: avval yukni o’qing

Profil bir Mac’da muammosiz o’rnatilib, boshqasida rad etilsa, tarmoqqa hali yetib borilmagan, shuning uchun sertifikatlar, shlyuzlar va parollar aybdor emas. O’rnatuvchi qabul qilishni istamagan yukda to’xtadi va odatda qaysi biri ekanini yozib qo’yadi. Shu sababli profil fayli va uni yaratgan hamma narsa ishlash uchun yagona oqilona joy bo’lib qoladi, klientda sozlamalarni o’chirish esa ta’mirlash o’rniga dalillarni yo’q qilish usuliga aylanadi.

Mac’ni tiklash o’rniga profilni o’qing

.mobileconfig ni eksport qiling va klientga tegishdan oldin uning ichida aslida nima borligini ko’ring:

plutil -p profile.mobileconfig | head -60

VPN profili aslida turli ishlarni bajaradigan ikki yuk: com.apple.vpn.managed ulanishni saqlaydi, com.apple.dnsSettings.managed esa hal qiluvchi konfiguratsiyasini saqlaydi. O’rnatish o’rnatuvchi rad etgan birinchi yukda to’xtaydi, rad etish esa shu yuk nomi bilan tizim jurnaliga tushadi, shuning uchun qaysi bo’limni ochishni jurnal aytadi. Oxirgi muvaffaqiyatli import qilingan profilning nusxasini saqlang, chunki o’sha fayl sizning farqingiz o’lchanadigan asosdir.

Generator jimgina nima qo’shdi

Apple Configurator 2.15, 7A23 versiyasi o’zining DNS yuki ichida quyidagi blokni chiqardi:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

macOS 12.1 da o’sha versiya yozgan profillar import paytida rad etildi. Configurator 2.11.1 bilan yaratilgan ulanish hech qanday shikoyatsiz kirdi, chunki u nashr kalitni umuman yozmagan. Butun DNS lug’atini yoki faqat muammoli kalitni olib tashlang, qayta saqlang va keyin boshqa narsani o’zgartirishdan oldin o’sha mashinada yana urinib ko’ring. Odatda o’sha bitta tuzatish butun ta’mirdir.

Asbobda unga ishonishdan oldin bilishga arziydigan tuzoq bor. Kalit o’chirilgandan keyin o’sha ulanishni saqlash uni qaytarmadi va u faqat ulanish noldan yaratilganda yana paydo bo’ldi. Har bir yangi yaratilgan profilni shubhali deb hisoblang va tekshiring, ayniqsa butun ulanishlar to’plami bir o’tirishda yaratilgan bo’lsa.

MDM yo’li boshqa joyda barbod bo’ladi

Xuddi shu profilni itarib yuboradigan boshqaruv xizmati boshqa nuqtada barbod bo’lishi mumkin: klient hech qanday VPN xizmati yaratilmaganidan shikoyat qiladi. Bildirilgan holatda sertifikat bilan autentifikatsiya uchun sozlangan yuk shunga qaramay parol maydonini talab qilgan; uni o’rinbosar bilan to’ldirish profilni qo’llashga imkon berdi va hech narsa o’sha qiymatni autentifikatsiya uchun ishlatmadi.

Agar shu yo’lni tanlasangiz, soxta satr saqlang va hech qachon haqiqiy hisob ma’lumotlarini saqlamang, asl sirni esa profil tanasidan tashqarida tuting. Ishlaydigan parolga ega profil kalit kabi himoyalanishi kerak bo’lgan faylga aylanadi va bu siz boshlagan muvaffaqiyatsiz importdan ancha katta muammo. Profil tarqatilishidan oldin o’sha o’rinbosar kimga tegishli ekanini hal qiling, shunda keyin hech kim uni almashtirishga arziydigan qiymat deb adashmasin. Uning nima uchun borligini hujjatlashtirish bir qator oladi va olti oydan keyin bitta janjalni tejaydi.

Profil haqiqatan joylashganini tasdiqlang

Muvaffaqiyatli import ishlaydigan xizmat emas, shuning uchun quyidagi tartibda tekshiring:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Birinchi buyruq o’rnatilgan yuklarni sanab chiqadi; ikkinchisi VPN xizmati umuman bor-yo’qligini aytadi. Ulanishdan keyin ishga tushiriladigan oxirgisi tizim haqiqatan ishlatadigan hal qiluvchini ko’rsatadi. Ularni shu tartibda o’qing va zanjir uzilgan joyda to’xtang, chunki xizmat yo’q bo’lsa hal qiluvchi haqidagi har qanday savol ma’nosiz bo’ladi. Profil o’rnatilgan deb ro’yxatga olinib, baribir ishlatsa bo’ladigan hech narsaga ega bo’lmasligi mumkin va aynan shu holatni ochish uchun bu ketma-ketlik yaratilgan.

Agar xizmat yozuvida hali yaroqli nom bo’lmasa-da tunnel ko’tarilsa, ko’rsatiladigan nom maydoni eksportda yo’qolgan va davo klientda nomni o’zgartirish emas, profilni qayta yaratishdir. Hal qiluvchi hanuz mahalliyga ishora qilsa, DNS yuki siz o’ylagandan chuqurroq olib tashlangan.

Joriy etishni bosqichma-bosqich o’tkazing, bir vaqtda bitta Mac

Bitta boshqariladigan Mac’da xuddi shu OS versiyasi bilan o’rnating, so’ng uchta narsani alohida tekshiring: xizmat paydo bo’ladi, hal qiluvchi o’zgaradi va bitta haqiqiy ichki so’rov muvaffaqiyatli bo’ladi. Faqat uchtasidan keyin qamrovni kengaytirish kerak.

Bular uch xil usulda barbod bo’ladigan uch xil natija va bitta sinov mashinasini o’sha o’n daqiqaga arziydigan qiladigan narsa ham shu. Import qilinadigan profil ishlaydigan profil emas va birinchi bosqich mashinasi ikkala nosozlik turini ham qolgan flot ko’rmasidan oldin ushlaydi.