Welches Protokoll steckt hinter jenem gespeicherten Mac-VPN-Profil?

Jemand nennt eine Mac-Verbindung „Office-VPN“, die Bezeichnung übersteht zwei Serverumzüge, und alle nennen sie weiterhin das Office-VPN, lange nachdem das Protokoll gewechselt hat. Der Name ist ein Spitzname, der neben der Konfiguration gespeichert ist; er ist kein Beleg dafür, worauf sich der Mac einigt. Den angegebenen Typ zu lesen kostet ein Feld, und diesen gespeicherten Typ von einer laufenden Sitzung zu trennen kostet einen weiteren Schritt. Hier ist die Reihenfolge, die Raten vermeidet.

Die Bezeichnung ist ein Spitzname, die Payload nennt den Typ

Ein macOS-VPN-Dienst ist ein Eintrag in der Systemkonfiguration mit einem Anzeigenamen, einem besitzenden Client und einer Reihe typisierter Einstellungen. Der Anzeigename ist freier Text, editierbar von jedem, der den Eintrag erstellt hat, und er ist der Teil, den Nutzer in der Menüleiste sehen. Die Einstellungen tragen die Fakten: welcher Verbindungstyp, welches Gateway, welche Authentifizierungsregelung. Nichts hält beides im Gleichklang, weshalb ein Profil namens „L2TP-Büro“ ein IKEv2-Dienst sein kann.

Bei einer persönlich angelegten Verbindung zeigen die besitzende Anwendung oder das eigene VPN-Bedienfeld des Systems diese Einstellungen. Bei einem verwalteten Mac gehört das Profil dem Administrator, und der richtige Schritt ist, eine nicht geheime Zusammenfassung anzufordern, statt eine verwaltete Payload zu bearbeiten. Die beiden Fälle sehen in der Menüleiste ähnlich aus und verhalten sich darunter völlig anders. Der eine gehört Ihnen zum Prüfen und Ändern; der andere wird ausgerollt und beim nächsten Check-in wiederhergestellt.

Diese Unterscheidung zählt, weil verwaltete und persönliche Konfigurationen unterschiedlich verwaltet werden. Ein von der Verwaltung installiertes Profil wird ersetzt oder erneut angewendet, eine lokale Änderung schlägt also fehl oder wird still zurückgenommen. Fragen Sie den Eigentümer nach Typ, Gateway-Identität und Authentifizierungsmethode, statt eine Datei zurückzuentwickeln, die Sie nicht kontrollieren.

Lesen Sie VPNType vor allem anderen in der Payload

Apples Schema für verwaltete VPN-Payloads nennt den Verbindungstyp im Schlüssel VPNType, innerhalb eines Wörterbuchs, dessen PayloadType com.apple.vpn.managed ist. Der Wert ist ein kurzes Token wie IKEv2, IPsec, L2TP oder VPN, und alles andere in der Payload wird gemäß diesem Token ausgelegt.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Dieses Fragment ist illustrativ und nicht installierbar: Es ist ein Eintrag eines Payload-Arrays, befreit von den Profilmetadaten und Zugangsdaten, die ein echter Rollout braucht. Lesen Sie es der Form wegen, nicht des Inhalts wegen. Beachten Sie auch, dass RemoteAddress und RemoteIdentifier verschiedene Felder mit verschiedenen Aufgaben sind, selbst wenn ein Rollout ihnen dieselbe Zeichenfolge gibt.

Ein Altbestandswert wie PPTP kann in einer alten Datei noch auftauchen, ohne eine Wahl zu sein, die das aktuelle macOS für eine neue Konfiguration bietet. Ein Token in einem gespeicherten Profil zu finden belegt, was geschrieben wurde, nicht was das Betriebssystem noch annimmt.

Eigene Typen brauchen VPNSubType und die besitzende App

Wenn VPNType VPN ist, muss die Payload auch VPNSubType tragen, das das Plug-in oder den Network-Extension-Anbieter bezeichnet, der die Verbindung umsetzt. Dieser Bezeichner leitet die Verbindung an einen bestimmten Client, ein falscher Subtyp erzeugt also ein Profil, das sich installieren lässt und dann den Start verweigert.

Bei anbieterbasierten App-Erweiterungen gehört der Bezeichner zur umgebenden App und nicht zu einem geratenen Erweiterungsnamen, und genau das wird beim Bearbeiten eines Profils von Hand meist falsch gemacht. Selbst ein korrekter Subtyp beschreibt den Client, nicht das Drahtprotokoll, die Authentifizierungsmethode oder die Fernzugriffsrichtlinie, die dieser Client verwenden wird.

Eine eigene Payload sagt Ihnen also, welche Software die Verbindung besitzt, und wenig mehr. Um zu erfahren, worauf sie sich einigt, lesen Sie die eigene Dokumentation dieses Anbieters und seine konfigurierten Einstellungen. Einen Subtyp aus dem Profil einer anderen Organisation zu kopieren ist keine Konfigurationstechnik; es ist ein Rateversuch, der zufällig parst.

Listen Sie auf, was der Mac tatsächlich konfiguriert hat

Fragen Sie das System, welche Dienste existieren und in welchem Zustand sie sind, bevor Sie irgendeine Datei lesen. Die Kommandozeilenansicht ist schneller als das Klicken durch Bedienfelder und druckt den Typ neben jedem Eintrag.

scutil --nc list
scutil --nc show "Office VPN"

Der erste Befehl listet konfigurierte VPN-Dienste mit ihrem aktuellen Status auf, der zweite druckt die Einstellungen des gewählten Dienstes, einschließlich Typ und Serveradresse, die er kontaktieren wird. Vergleichen Sie diese Adresse mit dem Gateway, das Sie erwartet haben, denn ein veralteter Eintrag, der auf einen ausgemusterten Host zeigt, ist ein häufiges Erbschaftsproblem.

Diese Befehle zeigen Konfiguration und Status; sie belegen nicht, dass ein Tunnel Verkehr führt. Ist der Dienst getrennt, beschreibt die Ausgabe eine Absicht statt einer funktionierenden Sitzung. Ein verbundener Dienst ohne Verkehr ist wieder ein anderes Problem, meist Routing oder DNS statt des Protokolltyps. Halten Sie diese drei Beobachtungen getrennt, sonst fällt die Diagnose auf Raten zurück.

Halten Sie gespeicherte Einstellungen von einer laufenden Sitzung getrennt

Ein gespeichertes Profil ist eine Absichtserklärung. Es zeigt nicht, dass das Gateway diesen Dienst noch anbietet, dass dieses Profil das aktive ist oder dass eine Sitzung erfolgreich ausgehandelt wurde. Das sind drei getrennte Fragen, und jede hat ihren eigenen Beleg.

Nutzen Sie die Statusansicht des Eigentümers oder Diagnosewerkzeuge, um die aktive Verbindung und die Identität zu bestimmen, die das Gateway vorgelegt hat. Ein Portscan oder ein Zertifikat auf einer fremden Seite beantwortet keine der beiden Fragen, und ein Common Name eines Zertifikats ist nicht dasselbe wie der erwartete Remote-Bezeichner.

Wenn der gespeicherte Typ nicht mehr zu dem passt, was das Gateway unterstützt, holen Sie ein Ersatzprofil bei dessen Eigentümer. Die Typzeichenfolge zu ändern übersetzt keine Zugangsdaten zwischen Protokollen und macht aus einer Authentifizierungsregelung keine andere. Teilen Sie die Zusammenfassung auch über den freigegebenen Supportkanal, da exportierte Konfigurationen Zugangsdaten und private Schlüssel enthalten können, die eine Supportanfrage nie gebraucht hätte.