Кой протокол стои зад запазения профил за Mac VPN?

Някой нарича връзка на Mac „Офис VPN“, етикетът преживява две миграции на сървъра и всички продължават да я наричат офис VPN дълго след като протоколът се смени. Името е прякор, запазен до конфигурацията; то не е доказателство за това, за какво се договаря Mac. Четенето на обявения вид отнема едно поле, а отделянето на запазения вид от жива сесия отнема още една стъпка. Ето реда, който избягва догадките.

Етикетът е прякор, полезният товар обявява вида

Услугата macOS VPN е системен конфигурационен запис с показвано име, притежаващ клиент и набор от типизирани настройки. Показваното име е свободен текст, редактируем от всеки, който е създал записа, и това е частта, която потребителите виждат в меню бара. Настройките носят фактите: какъв вид връзка, кой шлюз, каква схема за удостоверяване. Нищо не държи двете синхронизирани, затова профил с име „L2TP офис“ може да е услуга IKEv2.

За лично създадена връзка тези настройки показва притежаващото приложение или собственият VPN панел на системата. За управляван Mac профилът принадлежи на администратора и правилният ход е да поискате несекретно резюме, вместо да редактирате управляван полезен товар. Двата случая изглеждат сходно в меню бара и се държат напълно различно отдолу. Единият е ваш за преглед и промяна; другият е разгърнат и ще бъде възстановен при следващата проверка.

Тази разлика е важна, защото управляваните и личните конфигурации се управляват по различен начин. Профил, инсталиран от управлението, ще бъде заменен или приложен отново, така че локалната редакция или се проваля, или тихо се връща назад. Поискайте от собственика вида, идентичността на шлюза и метода за удостоверяване, вместо да правите обратен инженеринг на файл, който не контролирате.

Прочетете VPNType преди всичко друго в полезния товар

Според схемата на управлявания VPN полезен товар на Apple типът на връзката се обявява в ключа VPNType, вътре в речник, чийто PayloadType е com.apple.vpn.managed. Стойността е кратък токен като IKEv2, IPsec, L2TP или VPN, а всичко останало в полезния товар се тълкува според този токен.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Този фрагмент е илюстративен, а не годен за инсталиране: това е един запис от масив на полезен товар, лишен от метаданните на профила и идентификационните данни, които истинско разгръщане изисква. Четете го заради формата, не заради съдържанието. Забележете също, че RemoteAddress и RemoteIdentifier са различни полета с различни задачи, дори когато разгръщането им дава един и същ низ.

Наследена стойност като PPTP може все още да се появи в стар файл, без да е избор, който текущият macOS предлага за нова конфигурация. Намирането на токен в запазен профил доказва какво е било записано, а не какво операционната система все още ще приеме.

Персонализираните видове изискват VPNSubType и притежаващото приложение

Когато VPNType е VPN, полезният товар трябва да носи и VPNSubType, който идентифицира приставката или доставчика на Network Extension, който реализира връзката. Точно този идентификатор насочва връзката към конкретен клиент, затова грешен подвид създава профил, който се инсталира и после отказва да стартира.

При доставчиците, базирани на разширение на приложението, идентификаторът принадлежи на съдържащото приложение, а не на предполагаемо име на разширение, и това е детайлът, който хората обикновено объркват при ръчно редактиране на профил. Дори правилният подвид описва клиента, а не протокола по кабела, метода за удостоверяване или политиката за отдалечен достъп, която този клиент ще използва.

Така персонализираният полезен товар ви казва кой софтуер притежава връзката и малко друго. За да научите за какво се договаря, прочетете собствената документация на този доставчик и конфигурираните му настройки. Копирането на подвид от профила на друга организация не е техника за конфигурация; това е догадка, която случайно се разбира.

Избройте какво Mac действително е конфигурирал

Преди да четете който и да е файл, попитайте системата какви услуги съществуват и в какво състояние са. Изгледът от командния ред е по-бърз от цъкане през панели и отпечатва вида до всеки запис.

scutil --nc list
scutil --nc show "Office VPN"

Първата команда изброява конфигурираните VPN услуги с текущия им статус, а втората отпечатва настройките на избраната услуга, включително вида и адреса на сървъра, с който ще се свърже. Сравнете този адрес с шлюза, който сте очаквали, защото остарял запис, сочещ към изведен хост, е често срещан наследствен проблем.

Тези команди показват конфигурация и статус; те не доказват, че тунел носи трафик. Ако услугата е прекъсната, изходът описва намерение, а не работеща сесия. Свързана услуга без трафик е отново друг проблем, обикновено маршрутизация или DNS, а не видът на протокола. Дръжте тези три наблюдения отделно, иначе диагнозата отново се срива в догадки.

Дръжте запазените настройки отделно от жива сесия

Запазеният профил е изявление за намерение. Той не показва, че шлюзът все още предлага тази услуга, че този профил е активният или че сесия е договорена успешно. Това са три отделни въпроса и всеки има своите доказателства.

Използвайте изгледа за статус на собственика или диагностични инструменти, за да идентифицирате активната връзка и идентичността, която шлюзът е представил. Сканиране на портове или сертификат, видян на несвързан сайт, не отговаря на нито един от въпросите, а общото име на сертификат не е същото като очаквания отдалечен идентификатор.

Когато запазеният вид вече не съответства на това, което шлюзът поддържа, вземете заместващ профил от неговия собственик. Промяната на низа за вида не превежда идентификационни данни между протоколи и не превръща една схема за удостоверяване в друга. Споделете резюмето и през одобрения канал за поддръжка, защото експортираните конфигурации могат да носят идентификационни данни и частни ключове, които заявка за поддръжка никога не е изисквала.