Watter protokol skuil agter daardie gestoorde Mac-VPN-profiel?

Iemand noem ’n Mac-verbinding "Kantoor-VPN", die etiket oorleef twee bediener-migrasies, en almal bly dit die kantoor-VPN noem lank nadat die protokol verander het. Die naam is ’n bynaam wat langs die konfigurasie gestoor word; dit is nie ’n bewys van wat die Mac beding nie. Om die verklaarde tipe te lees neem een veld, en om daardie gestoorde tipe van ’n lewendige sessie te skei neem nog ’n stap. Hier is die volgorde wat raai vermy.

Die etiket is ’n bynaam, die payload verklaar die tipe

’n macOS-VPN-diens is ’n stelselkonfigurasie-inskrywing met ’n vertoonnaam, ’n eienaarkliënt en ’n stel getipeerde instellings. Die vertoonnaam is vrye teks, wysigbaar deur elkeen wat die inskrywing geskep het, en dit is die deel wat gebruikers in die kieslysbalk sien. Die instellings dra die feite: watter verbindingstipe, watter gateway, watter stawingsreëling. Niks hou dié twee in pas nie, en daarom kan ’n profiel met die naam "L2TP-kantoor" ’n IKEv2-diens wees.

Vir ’n persoonlik geskepte verbinding wys die eienaartoepassing of die stelsel se eie VPN-paneel daardie instellings. Vir ’n bestuurde Mac behoort die profiel aan die administrateur, en die regte stap is om ’n nie-geheime opsomming te vra eerder as om ’n bestuurde payload te wysig. Die twee gevalle lyk in die kieslysbalk soortgelyk en gedra hulle onderlangs heeltemal anders. Een is joune om te ondersoek en te verander; die ander word ontplooi en sal by die volgende aanmelding herstel word.

Daardie onderskeid maak saak omdat bestuurde en persoonlike konfigurasies verskillend beheer word. ’n Profiel wat deur bestuur geïnstalleer is, sal vervang of weer toegepas word, so ’n plaaslike wysiging misluk of keer stilweg terug. Vra die eienaar vir die tipe, gateway-identiteit en stawingsmetode eerder as om ’n lêer om te keer wat jy nie beheer nie.

Lees VPNType voor enigiets anders in die payload

Apple se bestuurde VPN-payloadskema verklaar sy verbindingstipe in die VPNType-sleutel, binne ’n woordeboek waarvan PayloadType com.apple.vpn.managed is. Die waarde is ’n kort teken soos IKEv2, IPsec, L2TP of VPN, en alles anders in die payload word volgens daardie teken vertolk.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Hierdie fragment is illustratief eerder as installeerbaar: dit is een inskrywing van ’n payload-skikking, gestroop van die profielmetadata en geloofsbriewe wat ’n werklike ontplooiing nodig het. Lees dit vir vorm, nie vir inhoud nie. Let ook daarop dat RemoteAddress en RemoteIdentifier verskillende velde met verskillende take is, selfs wanneer ’n ontplooiing aan hulle dieselfde string gee.

’n Erfeniswaarde soos PPTP kan steeds in ’n ou lêer voorkom sonder om ’n keuse te wees wat die huidige macOS vir ’n nuwe konfigurasie bied. Om ’n teken in ’n gestoorde profiel te vind bewys wat geskryf is, nie wat die bedryfstelsel nog sal aanvaar nie.

Pasgemaakte tipes benodig VPNSubType en die eienaartoepassing

Wanneer VPNType VPN is, moet die payload ook VPNSubType dra, wat die inprop of Network Extension-verskaffer identifiseer wat die verbinding implementeer. Daardie identifiseerder is wat die verbinding na ’n spesifieke kliënt lei, so ’n verkeerde subtiepe lewer ’n profiel wat installeer en dan weier om te begin.

Vir verskaffers op app-uitbreiding hoort die identifiseerder by die bevattende app eerder as by ’n geraamde uitbreidingsnaam, en dit is die detail wat mense gewoonlik verkeerd kry wanneer hulle ’n profiel met die hand wysig. Selfs ’n korrekte subtiepe beskryf die kliënt, nie die draadprotokol, die stawingsmetode of die afstandtoegangsbeleid wat daardie kliënt sal gebruik nie.

Dus sê ’n pasgemaakte payload vir jou watter sagteware die verbinding besit en min anders. Om te leer wat dit beding, lees daardie verskaffer se eie dokumentasie en sy gekonfigureerde instellings. Om ’n subtiepe van ’n ander organisasie se profiel te kopieer is nie ’n konfigurasietegniek nie; dit is ’n raaiskoot wat toevallig ontleed.

Lys wat die Mac werklik gekonfigureer het

Vra die stelsel watter dienste bestaan en in watter toestand hulle is voordat jy enige lêer lees. Die opdragreël-aansig is vinniger as om deur panele te klik en dit druk die tipe langs elke inskrywing.

scutil --nc list
scutil --nc show "Office VPN"

Die eerste opdrag lys gekonfigureerde VPN-dienste met hulle huidige status, en die tweede druk die gekose diens se instellings, insluitend die tipe en die bedieneradres waarmee dit sal kontak maak. Vergelyk daardie adres met die gateway wat jy verwag het, want ’n verouderde inskrywing wat na ’n afgetrede gasheer wys, is ’n algemene erfenisprobleem.

Hierdie opdragte wys konfigurasie en status; hulle bewys nie dat ’n tonnel verkeer dra nie. As die diens ontkoppel is, beskryf die uitset ’n bedoeling eerder as ’n werkende sessie. ’n Gekoppelde diens sonder verkeer is weer ’n ander probleem, gewoonlik roetering of DNS eerder as die protokoltipe. Hou daardie drie waarnemings apart, anders val die diagnose terug na raaiwerk.

Hou gestoorde instellings apart van ’n lewendige sessie

’n Gestoorde profiel is ’n verklaring van bedoeling. Dit wys nie dat die gateway daardie diens nog bied nie, dat hierdie profiel die aktiewe een is nie, of dat ’n sessie suksesvol beding is nie. Dit is drie afsonderlike vrae en elkeen het sy eie bewys.

Gebruik die eienaar se statusaansig of diagnostiese gereedskap om die aktiewe verbinding en die identiteit wat die gateway voorgehou het, te identifiseer. ’n Poortskandering of ’n sertifikaat wat op ’n onverwante werf gesien is, beantwoord nie een van die vrae nie, en ’n sertifikaat se algemene naam is nie dieselfde as die verwagte afgeleë identifiseerder nie.

Wanneer die gestoorde tipe nie meer pas by wat die gateway ondersteun nie, kry ’n vervangingsprofiel by die eienaar daarvan. Om die tipe-string te verander vertaal nie geloofsbriewe tussen protokolle nie, en dit maak nie een stawingsreëling in ’n ander nie. Deel die opsomming ook deur die goedgekeurde ondersteuningskanaal, want uitgevoerde konfigurasies kan geloofsbriewe en private sleutels dra wat ’n ondersteuningsversoek nooit nodig gehad het nie.