SonicWall VPN auf einem Mac: SSL-Client oder natives L2TP?

Beginnen Sie am Mac und gehen Sie dann nach außen, denn die Client-Entscheidung trifft die Firewall, und sie zeigt sich nur auf dem Schreibtisch. Öffnen Sie die Systemeinstellungen, sehen Sie nach, welche VPN-Konfiguration bereits existiert, und stellen Sie dem Administrator eine Frage, bevor Sie ein Kennwort eingeben. Die Antwort ist der aktivierte Fernzugriffsdienst, nicht das Gerätemodell auf der Anmeldeseite. Zwei Clients können auf einem Laptop liegen, ohne dass einer davon der richtige ist.

Fragen Sie das Gateway, welcher Dienst läuft

Zwei Fernzugriffsdienste erscheinen unter demselben Produktnamen und verhalten sich völlig unterschiedlich. Der eine ist ein SSL-VPN, das über einen Herstellerclient erreicht wird, der andere ist IPsec oder L2TP, das der eingebaute macOS-Client wählen kann. Sie unterscheiden sich in Ports, Authentifizierung und Adressvergabe, sodass ein Profil des einen für den anderen nutzlos ist. Allein von der Mac-Seite zu wählen ist als Konfiguration verkleidete Raterei.

Fragen Sie drei Dinge auf einmal: den Dienst, der lizenziert und aktiviert ist, den Client und die Version, die dieser Dienst unter macOS unterstützt, und den Authentifizierungsablauf, den er erwartet. Alles weniger lässt Sie beim nächsten Fehlschlag raten.

Gehen Sie den Weg des nativen L2TP

Eine native Verbindung existiert am Mac, sobald ein Profil hinzugefügt wurde, und der Einstellungsbereich zeigt sie neben WLAN und Ethernet. Ist die Liste leer, hat der Rechner überhaupt keine VPN-Konfiguration, und das Problem liegt in der Bereitstellung, nicht in der Konnektivität. Der Befehl unten gibt aus, was das System tatsächlich hält, einschließlich Konfigurationen, die die Oberfläche verbergen mag.

Lesen Sie die Ausgabe, bevor Sie etwas hinzufügen, denn ein veraltetes Profil mit vertrautem Namen ist ein häufiger Grund, warum eine neue Einrichtung ignoriert zu werden scheint. Vergleichen Sie dann die Serveradresse mit der Adresse, die Ihnen der Administrator gegeben hat, nicht mit der aus einem alten Ticket. Beide Prüfungen dauern eine Minute und beseitigen zwei der üblichen Sackgassen.

scutil --nc list
networksetup -listallnetworkservices

Ein nativer L2TP-Eintrag braucht außerdem das gemeinsame Geheimnis, einen Benutzernamen und ein Kennwort sowie ein Gateway, das diesen Dienst auf den erwarteten Ports anbietet. Fehlt eines davon, meldet der Mac einen Authentifizierungsfehler oder einen Fehler, dass der Server nicht antwortet, und keine der Meldungen unterscheidet ein falsches Geheimnis von einem Dienst, der nie aktiviert wurde. Halten Sie alle drei Werte beisammen, wenn Sie sich mit dem Administrator abgleichen.

Gehen Sie den Weg des SSL-Clients

Ein SSL-VPN-Client verbindet sich über TLS mit einem Portal und betreibt dann einen eigenen Tunnel und eine eigene Adressrichtlinie. Er braucht die Portaladresse, ein Konto und den zweiten Faktor, den die Bereitstellung erzwingt, und er installiert beim ersten Lauf meist eine Netzwerkerweiterung. Ein für einen Client exportiertes Profil lässt sich selten in einen anderen importieren, selbst wenn beide darunter IPsec sprechen. Nichts davon erscheint in der VPN-Liste der Systemeinstellungen, bis die Erweiterung genehmigt wurde.

Zwei nebeneinander installierte SSL-Clients können um dieselbe Netzwerkerweiterung konkurrieren, und der zuerst geladene gewinnt meist. Entfernen Sie den ungenutzten Client, bevor Sie den genehmigten installieren, und starten Sie dann neu, damit die Erweiterungsliste neu aufgebaut wird.

Prüfen Sie die macOS-Version gegen die aktuelle Support-Erklärung des Herstellers vor der Installation, und rechnen Sie damit, dass der Installer in Datenschutz und Sicherheit um Genehmigung bittet. Eine blockierte Erweiterung sieht genau aus wie eine Verbindung, die nie beginnt.

Lesen Sie den Hinweis zur Umbenennung richtig

Clientnamen wandern, und eine Umbenennung ist keine Protokolländerung. Der Hinweis des Herstellers, dass Mobile Connect zu NetExtender wird, beschreibt Branding, also lässt sich eine alte Aussage zur Unterstützung von Desktop-Plattformen nicht auf jede App mit dem neuen Namen übertragen.

Identifizieren Sie den Client, den Sie tatsächlich installiert haben, anhand von Bundle-Identifier und Version, nicht anhand des Etiketts auf dem Symbol. Diese Unterscheidung entscheidet, welche Support-Matrix für Ihren Mac gilt.

Überschneiden sich der aktivierte Dienst und der unterstützte Mac-Client nicht, sind die ehrlichen Optionen ein genehmigter alternativer Dienst oder eine geplante Gateway-Änderung. Eine gemeinsame Richtlinie umzuschreiben, damit ein Laptop zufrieden ist, oder eine App zu kaufen, weil eine Forumsantwort sie erwähnt hat, lässt die Kompatibilitätsfrage genau dort, wo sie begonnen hat.