Který protokol se skrývá za uloženým profilem VPN na Macu?

Někdo pojmenuje připojení na Macu „Office VPN“, štítek přežije dvě migrace serveru a všichni mu dál říkají office VPN dlouho poté, co se protokol změnil. Název je přezdívka uložená vedle konfigurace; není důkazem toho, o čem se Mac dohaduje. Přečtení deklarovaného typu zabere jedno pole a oddělení tohoto uloženého typu od živé relace další krok. Tady je pořadí, které se vyhýbá hádání.

Štítek je přezdívka, typ deklaruje datová část

Služba VPN v macOS je položka systémové konfigurace se zobrazovaným názvem, vlastnícím klientem a sadou typovaných nastavení. Zobrazovaný název je volný text, který může upravit kdokoli, kdo položku vytvořil, a právě tuto část uživatelé vidí v řádku nabídky. Nastavení nesou fakta: jaký typ připojení, jaká brána, jaké schéma ověřování. Nic neudržuje obojí v souladu, a proto profil s názvem „L2TP office“ může být služba IKEv2.

U připojení vytvořeného osobně tato nastavení zobrazuje vlastnící aplikace nebo vlastní panel VPN systému. Na spravovaném Macu profil patří správci a správným krokem je požádat o nesoukromé shrnutí, místo abyste upravovali spravovanou datovou část. Oba případy vypadají v řádku nabídky podobně a pod povrchem se chovají úplně jinak. Jeden je váš ke kontrole a změně; druhý je nasazený a při další kontrole bude obnoven.

Tento rozdíl je důležitý, protože spravované a osobní konfigurace se řídí odlišně. Profil nainstalovaný správou bude nahrazen nebo znovu použit, takže místní úprava buď selže, nebo se tiše vrátí zpět. Požádejte vlastníka o typ, identitu brány a metodu ověřování, místo abyste reverzně inženýrovali soubor, který neovládáte.

Přečtěte VPNType dřív než cokoli jiného v datové části

Podle schématu spravované datové části VPN od Applu se typ připojení deklaruje v klíči VPNType, uvnitř slovníku, jehož PayloadType je com.apple.vpn.managed. Hodnota je krátký token jako IKEv2, IPsec, L2TP nebo VPN a vše ostatní v datové části se vykládá podle tohoto tokenu.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Tento fragment je ilustrativní, nikoli instalovatelný: je to jedna položka pole datové části, zbavená metadat profilu a přihlašovacích údajů, které skutečné nasazení potřebuje. Čtěte ho kvůli tvaru, ne kvůli obsahu. Všimněte si také, že RemoteAddress a RemoteIdentifier jsou různá pole s různými úkoly, i když jim nasazení dá stejný řetězec.

Starší hodnota jako PPTP se může ve starém souboru stále objevit, aniž by byla volbou, kterou současný macOS pro novou konfiguraci nabízí. Nalezení tokenu v uloženém profilu dokazuje, co bylo zapsáno, ne to, co operační systém ještě přijme.

Vlastní typy potřebují VPNSubType a vlastnící aplikaci

Když je VPNType VPN, musí datová část nést také VPNSubType, který určuje zásuvný modul nebo poskytovatele Network Extension, jenž připojení implementuje. Právě tento identifikátor směruje připojení ke konkrétnímu klientovi, takže špatný podtyp vytvoří profil, který se nainstaluje a pak odmítne startovat.

U poskytovatelů založených na rozšíření aplikace patří identifikátor obsahující aplikaci, nikoli odhadnutému názvu rozšíření, a to je detail, který lidé při ruční úpravě profilu obvykle pletou. I správný podtyp popisuje klienta, ne drátový protokol, metodu ověřování nebo politiku vzdáleného přístupu, kterou tento klient použije.

Vlastní datová část vám tedy řekne, který software připojení vlastní, a málo jiného. Chcete-li zjistit, o čem se dohaduje, přečtěte si vlastní dokumentaci tohoto poskytovatele a jeho nakonfigurovaná nastavení. Kopírování podtypu z profilu jiné organizace není technika konfigurace; je to hádanka, která náhodou projde parsováním.

Vyjmenujte, co Mac skutečně nakonfiguroval

Než přečtete jakýkoli soubor, zeptejte se systému, jaké služby existují a v jakém jsou stavu. Pohled z příkazového řádku je rychlejší než proklikávání panelů a vypisuje typ vedle každé položky.

scutil --nc list
scutil --nc show "Office VPN"

První příkaz vypíše nakonfigurované služby VPN s jejich aktuálním stavem a druhý vypíše nastavení vybrané služby včetně typu a adresy serveru, se kterým bude komunikovat. Porovnejte tuto adresu s bránou, kterou jste očekávali, protože zastaralá položka ukazující na vyřazený hostitel je častý problém dědictví.

Tyto příkazy zobrazují konfiguraci a stav; nedokazují, že tunelem prochází provoz. Pokud je služba odpojená, výstup popisuje záměr, ne fungující relaci. Připojená služba bez provozu je zase jiný problém, obvykle směrování nebo DNS, ne typ protokolu. Udržujte tato tři pozorování oddělená, jinak se diagnostika zase zhroutí do hádání.

Udržujte uložená nastavení oddělená od živé relace

Uložený profil je prohlášení o záměru. Neukazuje, že brána tuto službu stále nabízí, že tento profil je aktivní nebo že se relace úspěšně dohodla. To jsou tři samostatné otázky a každá má své vlastní důkazy.

Pomocí stavového pohledu vlastníka nebo diagnostických nástrojů určete aktivní připojení a identitu, kterou brána předložila. Sken portů nebo certifikát viděný na nesouvisejícím webu neodpovídá ani na jednu otázku a běžný název certifikátu není totéž co očekávaný vzdálený identifikátor.

Když uložený typ už neodpovídá tomu, co brána podporuje, pořiďte náhradní profil od jejího vlastníka. Změna řetězce typu nepřekládá přihlašovací údaje mezi protokoly a nedělá z jednoho schématu ověřování jiné. Sdílejte shrnutí také schváleným kanálem podpory, protože exportované konfigurace mohou nést přihlašovací údaje a soukromé klíče, které žádost o podporu nikdy nepotřebovala.