Quin protocol hi ha darrere d’aquell perfil de VPN del Mac desat?

Algú anomena una connexió del Mac «VPN d’oficina», l’etiqueta sobreviu a dues migracions del servidor i tothom continua dient-ne la VPN d’oficina molt després que el protocol canviï. El nom és un sobrenom desat al costat de la configuració; no és cap prova d’allò que negocia el Mac. Llegir el tipus declarat només demana un camp, i separar aquest tipus desat d’una sessió activa demana un pas més. Aquest és l’ordre que evita les endevinalles.

L’etiqueta és un sobrenom, la càrrega declara el tipus

Un servei de VPN del macOS és una entrada de configuració del sistema amb un nom visible, un client propietari i un conjunt d’ajustos tipats. El nom visible és text lliure, editable per qui va crear l’entrada, i és la part que els usuaris veuen a la barra de menús. Els ajustos porten els fets: quin tipus de connexió, quina porta d’enllaç, quin esquema d’autenticació. Res no manté els dos en sincronia, i per això un perfil anomenat «oficina L2TP» pot ser un servei IKEv2.

En una connexió creada personalment, l’aplicació propietària o el panell de VPN propi del sistema mostren aquests ajustos. En un Mac gestionat, el perfil pertany a l’administrador, i el moviment correcte és demanar un resum sense secrets en lloc d’editar una càrrega gestionada. Els dos casos semblen iguals a la barra de menús i es comporten de manera ben diferent a sota. Un és teu per inspeccionar-lo i canviar-lo; l’altre està desplegat i es restaurarà en la propera comprovació.

Aquesta distinció importa perquè les configuracions gestionades i les personals es governen de manera diferent. Un perfil instal·lat per la gestió es substituirà o es tornarà a aplicar, així que una edició local o falla o reverteix en silenci. Demana al propietari el tipus, la identitat de la porta d’enllaç i el mètode d’autenticació en lloc de fer enginyeria inversa d’un fitxer que no controles.

Llegeix VPNType abans que res més a la càrrega

L’esquema de càrrega de VPN gestionada d’Apple declara el tipus de connexió a la clau VPNType, dins d’un diccionari el PayloadType del qual és com.apple.vpn.managed. El valor és un testimoni curt com IKEv2, IPsec, L2TP o VPN, i tota la resta de la càrrega s’interpreta segons aquest testimoni.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Aquest fragment és il·lustratiu i no instal·lable: és una entrada d’una matriu de càrrega, despullada de les metadades del perfil i de les credencials que necessita un desplegament real. Llegeix-lo per la forma, no pel contingut. Fixa’t també que RemoteAddress i RemoteIdentifier són camps diferents amb feines diferents, fins i tot quan un desplegament els dona la mateixa cadena.

Un valor llegat com PPTP encara pot aparèixer en un fitxer antic sense ser una opció que el macOS actual ofereixi per a una configuració nova. Trobar un testimoni en un perfil desat demostra què es va escriure, no què acceptarà encara el sistema operatiu.

Els tipus personalitzats necessiten VPNSubType i l’aplicació propietària

Quan VPNType és VPN, la càrrega també ha de portar VPNSubType, que identifica el connector o el proveïdor de Network Extension que implementa la connexió. Aquest identificador és el que encamina la connexió cap a un client concret, així que un subtipus equivocat produeix un perfil que s’instal·la i després es nega a arrencar.

En els proveïdors basats en extensions d’aplicació, l’identificador pertany a l’aplicació contenidora i no a un nom d’extensió endevinat, i aquest és el detall que la gent sol equivocar quan edita un perfil a mà. Fins i tot un subtipus correcte descriu el client, no el protocol de cable, el mètode d’autenticació ni la política d’accés remot que farà servir aquest client.

Així, una càrrega personalitzada et diu quin programari posseeix la connexió i poca cosa més. Per saber què negocia, llegeix la documentació pròpia d’aquell proveïdor i els seus ajustos configurats. Copiar un subtipus del perfil d’una altra organització no és una tècnica de configuració; és una endevinalla que casualment s’analitza.

Llista què ha configurat realment el Mac

Abans de llegir cap fitxer, pregunta al sistema quins serveis existeixen i en quin estat són. La vista de línia d’ordres és més ràpida que clicar per panells i imprimeix el tipus al costat de cada entrada.

scutil --nc list
scutil --nc show "Office VPN"

La primera ordre llista els serveis de VPN configurats amb el seu estat actual, i la segona imprimeix els ajustos del servei seleccionat, inclòs el tipus i l’adreça del servidor amb què contactarà. Compara aquesta adreça amb la porta d’enllaç que t’havien dit que esperessis, perquè una entrada antiga que apunta a un amfitrió retirat és un problema d’herència habitual.

Aquestes ordres mostren configuració i estat; no proven que un túnel porti trànsit. Si el servei està desconnectat, la sortida descriu una intenció i no una sessió que funcioni. Un servei connectat sense trànsit és encara un altre problema, normalment encaminament o DNS i no el tipus de protocol. Mantén aquestes tres observacions separades o el diagnòstic torna a les endevinalles.

Mantén els ajustos desats a part d’una sessió activa

Un perfil desat és una declaració d’intenció. No mostra que la porta d’enllaç encara ofereixi aquell servei, que aquest perfil sigui l’actiu o que una sessió hagi negociat correctament. Són tres preguntes separades i cadascuna té la seva pròpia evidència.

Utilitza la vista d’estat del propietari o les eines de diagnòstic per identificar la connexió activa i la identitat que ha presentat la porta d’enllaç. Un escaneig de ports o un certificat vist en un lloc no relacionat no responen cap de les dues preguntes, i el nom comú d’un certificat no és el mateix que l’identificador remot esperat.

Quan el tipus desat ja no coincideix amb el que admet la porta d’enllaç, aconsegueix un perfil de substitució del seu propietari. Canviar la cadena del tipus no tradueix credencials entre protocols ni converteix un esquema d’autenticació en un altre. Comparteix el resum també pel canal de suport aprovat, ja que les configuracions exportades poden portar credencials i claus privades que una sol·licitud de suport mai no ha necessitat.