Ποιο πρωτόκολλο κρύβεται πίσω από το αποθηκευμένο προφίλ VPN του Mac;

Κάποιος ονομάζει μια σύνδεση του Mac «VPN Γραφείου», η ετικέτα επιβιώνει δύο μεταφορές διακομιστή και όλοι εξακολουθούν να τη λένε VPN γραφείου πολύ αφού άλλαξε το πρωτόκολλο. Το όνομα είναι ένα παρατσούκλι αποθηκευμένο δίπλα στη διαμόρφωση· δεν είναι απόδειξη για το τι διαπραγματεύεται το Mac. Η ανάγνωση του δηλωμένου τύπου απαιτεί ένα πεδίο, και ο διαχωρισμός αυτού του αποθηκευμένου τύπου από μια ζωντανή συνεδρία απαιτεί ένα ακόμη βήμα. Ακολουθεί η σειρά που αποφεύγει τις εικασίες.

Η ετικέτα είναι παρατσούκλι, το ωφέλιμο φορτίο δηλώνει τον τύπο

Μια υπηρεσία VPN του macOS είναι μια καταχώριση διαμόρφωσης συστήματος με εμφανιζόμενο όνομα, πελάτη που την κατέχει και ένα σύνολο τυποποιημένων ρυθμίσεων. Το εμφανιζόμενο όνομα είναι ελεύθερο κείμενο, επεξεργάσιμο από όποιον δημιούργησε την καταχώριση, και είναι το μέρος που βλέπουν οι χρήστες στη γραμμή μενού. Οι ρυθμίσεις φέρουν τα γεγονότα: ποιος τύπος σύνδεσης, ποια πύλη, ποια διάταξη ελέγχου ταυτότητας. Τίποτα δεν κρατά τα δύο συγχρονισμένα, γι’ αυτό ένα προφίλ με όνομα «L2TP γραφείο» μπορεί να είναι υπηρεσία IKEv2.

Για μια σύνδεση που δημιουργήθηκε προσωπικά, οι ρυθμίσεις εμφανίζονται από την εφαρμογή που την κατέχει ή από το δικό του πάνελ VPN του συστήματος. Σε ένα διαχειριζόμενο Mac, το προφίλ ανήκει στον διαχειριστή, και η σωστή κίνηση είναι να ζητήσετε μια μη απόρρητη σύνοψη αντί να επεξεργαστείτε ένα διαχειριζόμενο ωφέλιμο φορτίο. Οι δύο περιπτώσεις μοιάζουν στη γραμμή μενού και συμπεριφέρονται εντελώς διαφορετικά από κάτω. Η μία είναι δική σας για έλεγχο και αλλαγή· η άλλη έχει αναπτυχθεί και θα αποκατασταθεί στον επόμενο έλεγχο.

Αυτή η διάκριση έχει σημασία γιατί οι διαχειριζόμενες και οι προσωπικές διαμορφώσεις διέπονται διαφορετικά. Ένα προφίλ που εγκαθίσταται από τη διαχείριση θα αντικατασταθεί ή θα εφαρμοστεί ξανά, οπότε μια τοπική αλλαγή είτε αποτυγχάνει είτε επανέρχεται σιωπηλά. Ζητήστε από τον ιδιοκτήτη τον τύπο, την ταυτότητα της πύλης και τη μέθοδο ελέγχου ταυτότητας αντί να κάνετε αντίστροφη μηχανική σε ένα αρχείο που δεν ελέγχετε.

Διαβάστε το VPNType πριν από οτιδήποτε άλλο στο ωφέλιμο φορτίο

Το σχήμα διαχειριζόμενου ωφέλιμου φορτίου VPN της Apple δηλώνει τον τύπο σύνδεσης στο κλειδί VPNType, μέσα σε ένα λεξικό του οποίου το PayloadType είναι com.apple.vpn.managed. Η τιμή είναι ένα σύντομο διακριτικό όπως IKEv2, IPsec, L2TP ή VPN, και όλα τα υπόλοιπα στο ωφέλιμο φορτίο ερμηνεύονται σύμφωνα με αυτό το διακριτικό.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Αυτό το απόσπασμα είναι ενδεικτικό και όχι εγκαταστάσιμο: είναι μία καταχώριση ενός πίνακα ωφέλιμου φορτίου, απογυμνωμένη από τα μεταδεδομένα του προφίλ και τα διαπιστευτήρια που χρειάζεται μια πραγματική ανάπτυξη. Διαβάστε το για το σχήμα, όχι για το περιεχόμενο. Σημειώστε επίσης ότι το RemoteAddress και το RemoteIdentifier είναι διαφορετικά πεδία με διαφορετικές δουλειές, ακόμη και όταν μια ανάπτυξη τους δίνει το ίδιο αλφαριθμητικό.

Μια παλαιότερη τιμή όπως PPTP μπορεί να εμφανίζεται ακόμη σε ένα παλιό αρχείο χωρίς να είναι επιλογή που προσφέρει το τρέχον macOS για μια νέα διαμόρφωση. Το να βρείτε ένα διακριτικό σε ένα αποθηκευμένο προφίλ αποδεικνύει τι γράφτηκε, όχι τι θα δεχτεί ακόμη το λειτουργικό σύστημα.

Οι προσαρμοσμένοι τύποι χρειάζονται VPNSubType και την εφαρμογή που τους κατέχει

Όταν το VPNType είναι VPN, το ωφέλιμο φορτίο πρέπει να φέρει και VPNSubType, που προσδιορίζει το πρόσθετο ή τον πάροχο Network Extension που υλοποιεί τη σύνδεση. Αυτό το αναγνωριστικό δρομολογεί τη σύνδεση σε συγκεκριμένο πελάτη, οπότε ένας λάθος υποτύπος παράγει προφίλ που εγκαθίσταται και μετά αρνείται να ξεκινήσει.

Στους παρόχους που βασίζονται σε επέκταση εφαρμογής, το αναγνωριστικό ανήκει στην εφαρμογή που το περιέχει και όχι σε ένα μαντεμένο όνομα επέκτασης, και αυτή είναι η λεπτομέρεια που συνήθως μπερδεύουν όσοι επεξεργάζονται ένα προφίλ με το χέρι. Ακόμη και ένας σωστός υποτύπος περιγράφει τον πελάτη, όχι το πρωτόκολλο μετάδοσης, τη μέθοδο ελέγχου ταυτότητας ή την πολιτική απομακρυσμένης πρόσβασης που θα χρησιμοποιήσει αυτός ο πελάτης.

Έτσι, ένα προσαρμοσμένο ωφέλιμο φορτίο σας λέει ποιο λογισμικό κατέχει τη σύνδεση και λίγα άλλα. Για να μάθετε τι διαπραγματεύεται, διαβάστε την τεκμηρίωση αυτού του παρόχου και τις ρυθμισμένες παραμέτρους του. Η αντιγραφή ενός υποτύπου από το προφίλ άλλου οργανισμού δεν είναι τεχνική διαμόρφωσης· είναι μια εικασία που τυχαίνει να αναλύεται.

Καταγράψτε τι έχει πράγματι ρυθμίσει το Mac

Πριν διαβάσετε οποιοδήποτε αρχείο, ρωτήστε το σύστημα ποιες υπηρεσίες υπάρχουν και σε ποια κατάσταση βρίσκονται. Η προβολή γραμμής εντολών είναι ταχύτερη από το κλικ στα πάνελ και εκτυπώνει τον τύπο δίπλα σε κάθε καταχώριση.

scutil --nc list
scutil --nc show "Office VPN"

Η πρώτη εντολή απαριθμεί τις ρυθμισμένες υπηρεσίες VPN με την τρέχουσα κατάστασή τους, και η δεύτερη εκτυπώνει τις ρυθμίσεις της επιλεγμένης υπηρεσίας, συμπεριλαμβανομένου του τύπου και της διεύθυνσης διακομιστή με την οποία θα επικοινωνήσει. Συγκρίνετε αυτή τη διεύθυνση με την πύλη που περιμένατε, γιατί μια παρωχημένη καταχώριση που δείχνει σε αποσυρμένο κεντρικό υπολογιστή είναι συνηθισμένο πρόβλημα κληρονομιάς.

Αυτές οι εντολές εμφανίζουν διαμόρφωση και κατάσταση· δεν αποδεικνύουν ότι μια σήραγγα μεταφέρει κίνηση. Αν η υπηρεσία είναι αποσυνδεδεμένη, η έξοδος περιγράφει πρόθεση και όχι συνεδρία που λειτουργεί. Μια συνδεδεμένη υπηρεσία χωρίς κίνηση είναι πάλι άλλο πρόβλημα, συνήθως δρομολόγηση ή DNS και όχι ο τύπος πρωτοκόλλου. Κρατήστε αυτές τις τρεις παρατηρήσεις χωριστά, αλλιώς η διάγνωση επιστρέφει στις εικασίες.

Κρατήστε τις αποθηκευμένες ρυθμίσεις χωριστά από μια ζωντανή συνεδρία

Ένα αποθηκευμένο προφίλ είναι δήλωση πρόθεσης. Δεν δείχνει ότι η πύλη προσφέρει ακόμη αυτή την υπηρεσία, ότι αυτό το προφίλ είναι το ενεργό ή ότι μια συνεδρία διαπραγματεύτηκε με επιτυχία. Αυτά είναι τρία ξεχωριστά ερωτήματα και το καθένα έχει τη δική του απόδειξη.

Χρησιμοποιήστε την προβολή κατάστασης του ιδιοκτήτη ή διαγνωστικά εργαλεία για να προσδιορίσετε την ενεργή σύνδεση και την ταυτότητα που παρουσίασε η πύλη. Μια σάρωση θυρών ή ένα πιστοποιητικό που είδατε σε άσχετο ιστότοπο δεν απαντά σε κανένα από τα δύο ερωτήματα, και το κοινό όνομα ενός πιστοποιητικού δεν είναι το ίδιο με το αναμενόμενο απομακρυσμένο αναγνωριστικό.

Όταν ο αποθηκευμένος τύπος δεν ταιριάζει πλέον με ό,τι υποστηρίζει η πύλη, πάρτε προφίλ αντικατάστασης από τον ιδιοκτήτη της. Η αλλαγή της συμβολοσειράς τύπου δεν μεταφράζει διαπιστευτήρια μεταξύ πρωτοκόλλων και δεν κάνει μια διάταξη ελέγχου ταυτότητας άλλη. Μοιραστείτε επίσης τη σύνοψη μέσω του εγκεκριμένου καναλιού υποστήριξης, καθώς οι εξαγόμενες διαμορφώσεις μπορούν να φέρουν διαπιστευτήρια και ιδιωτικά κλειδιά που δεν χρειάστηκε ποτέ ένα αίτημα υποστήριξης.