Hồ sơ VPN không nhập được trên macOS: hãy đọc tải trọng trước

Khi một hồ sơ cài đặt trơn tru trên máy Mac này và bị từ chối trên máy khác, mạng chưa được chạm tới, nên chứng chỉ, cổng vào và mật khẩu không đáng bị đổ lỗi. Trình cài đặt dừng ở một tải trọng mà nó không chịu chấp nhận, và thường ghi lại là tải trọng nào. Điều đó để lại tệp hồ sơ và mọi thứ đã tạo ra nó như những nơi làm việc hợp lý duy nhất, và khiến việc xóa cài đặt trên máy khách trở thành cách phá hủy bằng chứng thay vì sửa chữa.

Đọc hồ sơ thay vì đặt lại máy Mac

Xuất .mobileconfig và xem nó thực sự chứa gì trước khi chạm vào máy khách:

plutil -p profile.mobileconfig | head -60

Hồ sơ VPN thực chất là hai tải trọng làm việc khác nhau: com.apple.vpn.managed chứa kết nối, và com.apple.dnsSettings.managed chứa cấu hình trình phân giải. Quá trình cài đặt dừng ở tải trọng đầu tiên mà trình cài đặt từ chối, và sự từ chối đi vào nhật ký hệ thống kèm tên tải trọng đó, nên chính nhật ký cho bạn biết nên mở phần nào. Hãy giữ một bản sao của hồ sơ cuối cùng nhập được, vì tệp đó là nền móng để đo khác biệt của bạn.

Những gì trình tạo lặng lẽ thêm vào

Apple Configurator 2.15, bản dựng 7A23, đã phát ra khối sau bên trong tải trọng DNS của nó:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

Trên macOS 12.1, các hồ sơ do bản dựng đó ghi bị từ chối khi nhập. Một kết nối tạo bằng Configurator 2.11.1 vào được mà không bị phàn nàn, vì bản phát hành đó không hề ghi khóa. Hãy xóa toàn bộ từ điển DNS hoặc chỉ khóa gây vấn đề, lưu lại, rồi thử lại trên cùng máy trước khi đổi bất cứ điều gì khác. Thường thì chỉnh sửa duy nhất đó là toàn bộ việc sửa chữa.

Công cụ này có một cái bẫy đáng biết trước khi tin nó. Sau khi khóa bị xóa, việc lưu lại cùng kết nối không đưa khóa trở lại, và nó chỉ xuất hiện lại khi kết nối được tạo từ đầu. Hãy coi mọi hồ sơ vừa tạo là đáng ngờ và kiểm tra nó, nhất là khi cả một loạt kết nối được tạo trong một lần ngồi.

Đường MDM hỏng ở chỗ khác

Một dịch vụ quản lý đẩy cùng hồ sơ đó có thể hỏng ở điểm khác: máy khách phàn nàn rằng không có dịch vụ VPN nào được tạo. Trong trường hợp được báo, một tải trọng cấu hình cho xác thực bằng chứng chỉ vẫn yêu cầu trường mật khẩu; điền vào bằng một giá trị thay thế cho phép hồ sơ được áp dụng, và không gì từng dùng giá trị đó để xác thực.

Nếu đi theo con đường đó, hãy lưu một chuỗi giả và không bao giờ lưu thông tin xác thực thật, và giữ bí mật thật bên ngoài phần thân hồ sơ. Một hồ sơ mang mật khẩu hoạt động được trở thành tệp phải bảo vệ như chìa khóa, và đó là vấn đề lớn hơn nhiều so với lần nhập thất bại mà bạn bắt đầu. Hãy quyết định ai sở hữu giá trị thay thế đó trước khi hồ sơ được phân phối, để về sau không ai nhầm nó với một giá trị đáng xoay vòng. Việc ghi lại lý do nó tồn tại chỉ tốn một dòng và tiết kiệm một cuộc tranh cãi sau sáu tháng.

Xác nhận hồ sơ thực sự đã vào

Nhập thành công không phải là dịch vụ đang chạy, nên hãy kiểm tra theo thứ tự này:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

Lệnh đầu liệt kê các tải trọng đã cài; lệnh thứ hai cho biết có dịch vụ VPN nào hay không. Lệnh cuối, chạy sau khi kết nối, hiển thị trình phân giải mà hệ thống thực sự sẽ dùng. Hãy đọc chúng theo thứ tự đó và dừng ở chỗ chuỗi đứt, vì thiếu dịch vụ thì mọi câu hỏi về trình phân giải đều vô nghĩa. Một hồ sơ có thể được liệt kê là đã cài mà vẫn không sở hữu gì dùng được, và đó chính là trạng thái mà trình tự này được thiết kế để phơi ra.

Nếu đường hầm dựng lên trong khi mục dịch vụ vẫn chưa có tên dùng được, trường tên hiển thị đã mất khi xuất, và cách chữa là tạo lại hồ sơ chứ không phải đổi tên trên máy khách. Nếu trình phân giải cứ trỏ vào cái cục bộ, tải trọng DNS đã bị gỡ kỹ hơn bạn định.

Triển khai theo giai đoạn, mỗi lần một máy Mac

Cài trên một máy Mac được quản lý chạy cùng bản dựng hệ điều hành, rồi kiểm tra ba thứ riêng rẽ: dịch vụ xuất hiện, trình phân giải thay đổi, và một yêu cầu nội bộ thật sự thành công. Chỉ sau khi cả ba đúng mới nên mở rộng phạm vi.

Đó là ba kết quả khác nhau hỏng theo ba cách khác nhau, và chính điều đó khiến một máy thử nghiệm đáng giá mười phút ấy. Một hồ sơ nhập được không phải hồ sơ chạy được, và chiếc máy ở giai đoạn một bắt được cả hai kiểu hỏng trước khi phần còn lại của đội máy nhìn thấy bất kỳ kiểu nào.