Які пратакол хаваецца за захаваным профілем Mac VPN?

Нехта называе злучэнне Mac «Офісны VPN», назва перажывае дзве міграцыі сервера, і ўсе працягваюць зваць яго офісным VPN яшчэ доўга пасля змены пратаколу. Назва — гэта мянушка, захаваная побач з канфігурацыяй; яна не сведчыць пра тое, аб чым дамаўляецца Mac. Чытанне абвешчанага тыпу патрабуе аднаго поля, а аддзяленне гэтага захаванага тыпу ад жывога сеансу — яшчэ аднаго кроку. Вось парадак, які пазбягае здагадак.

Назва — мянушка, карысная нагрузка абвяшчае тып

Служба Mac VPN — гэта запіс сістэмнай канфігурацыі з адлюстраванай назвай, кліентам-уладальнікам і наборам тыпізаваных налад. Адлюстраваная назва — свабодны тэкст, які можа змяніць любы, хто стварыў запіс, і менавіта яе карыстальнікі бачаць у радку меню. Налады нясуць факты: які тып злучэння, які шлюз, якая схема аўтэнтыфікацыі. Нішто не трымае гэтыя дзве часткі ў згодзе, таму профіль з назвай «Офіс L2TP» можа быць службай IKEv2.

Для злучэння, створанага асабіста, гэтыя налады паказвае праграма-уладальнік або ўласная панэль VPN сістэмы. Для кіраванага Mac профіль належыць адміністратару, і правільны крок — запытаць несекрэтнае рэзюмэ замест рэдагавання кіраванай нагрузкі. Абодва выпадкі выглядаюць падобна ў радку меню і паводзяць сябе цалкам па-рознаму ўнізе. Адзін ваш для агляду і змены; другі разгорнуты і будзе адноўлены пры наступнай праверцы.

Гэта розніца важная, бо кіраваныя і асабістыя канфігурацыі кіруюцца па-рознаму. Профіль, усталяваны кіраваннем, будзе заменены або зноў ужыты, таму лакальнае рэдагаванне або не ўдаецца, або моўчкі адкочваецца. Запытайце ў уладальніка тып, ідэнтычнасць шлюза і метад аўтэнтыфікацыі замест рэверс-інжынірынгу файла, які вы не кантралюеце.

Чытайце VPNType перш за ўсё ў карыснай нагрузцы

У схеме кіраванай нагрузкі VPN ад Apple тып злучэння абвяшчаецца ў ключы VPNType, унутры слоўніка, чый PayloadType — com.apple.vpn.managed. Значэнне — кароткі токен, напрыклад IKEv2, IPsec, L2TP або VPN, і ўсё астатняе ў нагрузцы інтэрпрэтуецца згодна з гэтым токенам.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Гэты фрагмент ілюстратыўны, а не прыдатны для ўсталявання: гэта адзін запіс масіва нагрузкі, пазбаўлены метаданых профілю і ўліковых даных, якія патрэбныя рэальнаму разгортванню. Чытайце яго дзеля формы, а не змесціва. Заўважце таксама, што RemoteAddress і RemoteIdentifier — розныя поля з рознымі задачамі, нават калі разгортванне дае ім аднолькавы радок.

Старое значэнне, такое як PPTP, можа ўсё яшчэ сустракацца ў старым файле, не будучы выбарам, які бягучы macOS прапануе для новай канфігурацыі. Знаходжанне токена ў захаваным профілі даказвае, што было запісана, а не тое, што аперацыйная сістэма яшчэ прыме.

Уласныя тыпы патрабуюць VPNSubType і праграмы-уладальніка

Калі VPNType — гэта VPN, нагрузка павінна таксама несці VPNSubType, які вызначае плагін або пастаўшчыка Network Extension, што рэалізуе злучэнне. Менавіта гэты ідэнтыфікатар накіроўвае злучэнне да пэўнага кліента, таму няправільны падтып стварае профіль, які ўсталёўваецца і потым адмаўляецца запускацца.

Для пастаўшчыкоў на аснове пашырэння праграмы ідэнтыфікатар належыць праграме-уладальніку, а не здагаданай назве пашырэння, і менавіта гэтую дэталь людзі звычайна блытаюць пры ручным рэдагаванні профілю. Нават правільны падтып апісвае кліент, а не правадны пратакол, метад аўтэнтыфікацыі або палітыку аддаленага доступу, якую гэты кліент выкарыстае.

Такім чынам, уласная нагрузка кажа, якая праграма валодае злучэннем, і нямнога больш. Каб даведацца, аб чым яно дамаўляецца, чытайце ўласную дакументацыю гэтага пастаўшчыка і яго настроеныя параметры. Капіраванне падтыпу з профілю іншай арганізацыі — не тэхніка канфігурацыі; гэта здагадка, якая выпадкова разбіраецца.

Пералічыце, што Mac насамрэч наладзіў

Перш чым чытаць любы файл, запытайце ў сістэмы, якія службы існуюць і ў якім яны стане. Прагляд у камандным радку хутчэйшы за пстрыканне па панэлях, і ён друкуе тып побач з кожным запісам.

scutil --nc list
scutil --nc show "Office VPN"

Першая каманда пералічвае наладжаныя службы VPN з іх бягучым станам, а другая друкуе налады выбранай службы, уключаючы тып і адрас сервера, з якім яна будзе звязвацца. Параўнайце гэты адрас з шлюзам, які вы чакалі, бо састарэлы запіс, што паказвае на выведзены хост, — распаўсюджаная спадчынная праблема.

Гэтыя каманды паказваюць канфігурацыю і стан; яны не даказваюць, што тунель пераносіць трафік. Калі служба адключаная, вывад апісвае намер, а не працоўны сеанс. Падключаная служба без трафіку — зноў іншая праблема, звычайна маршрутызацыя або DNS, а не тып пратаколу. Трымайце гэтыя тры назіранні асобна, інакш дыягназ зноў зваліцца ў здагадкі.

Трымайце захаваныя налады асобна ад жывога сеансу

Захаваны профіль — гэта заява аб намеры. Ён не паказвае, што шлюз дагэтуль прапануе гэтую службу, што гэты профіль актыўны або што сеанс паспяхова дамовіўся. Гэта тры асобныя пытанні, і кожнае мае свае доказы.

Выкарыстайце прагляд стану ўладальніка або дыягнастычныя сродкі, каб вызначыць актыўнае злучэнне і ідэнтычнасць, якую прадставіў шлюз. Сканаванне партоў або сертыфікат, убачаны на староннім сайце, не адказвае ні на адно пытанне, а агульная назва сертыфіката — не тое ж самае, што чаканы аддалены ідэнтыфікатар.

Калі захаваны тып больш не адпавядае таму, што падтрымлівае шлюз, вазьміце заменны профіль у яго ўладальніка. Змена радка тыпу не перакладае ўліковыя даныя паміж пратаколамі і не робіць адну схему аўтэнтыфікацыі другой. Падзяліцеся рэзюмэ таксама праз зацверджаны канал падтрымкі, бо экспартаваныя канфігурацыі могуць несці ўліковыя даныя і прыватныя ключы, якія запыту падтрымкі ніколі не былі патрэбныя.