Kiu protokolo staras malantaŭ tiu konservita Mac VPN-profilo?

Iu nomas Mac-konekton „Oficeja VPN“, la etikedo postvivas du servilajn migradojn, kaj ĉiuj plu nomas ĝin la oficeja VPN longe post kiam la protokolo ŝanĝiĝis. La nomo estas kromnomo konservita apud la agordo; ĝi ne estas pruvo pri tio, pri kio la Mac interkonsentas. Legi la deklaritan tipon postulas unu kampon, kaj apartigi tiun konservitan tipon de viva sesio postulas plian paŝon. Jen la ordo, kiu evitas divenadon.

La etikedo estas kromnomo, la ŝarĝo deklaras la tipon

macOS VPN-servo estas sistema agorda ero kun montrata nomo, posedanta kliento kaj aro de tipigitaj agordoj. La montrata nomo estas libera teksto, redaktebla de kiu ajn kreis la eron, kaj ĝi estas la parto, kiun uzantoj vidas en la menuo. La agordoj portas la faktojn: kiu konekta tipo, kiu kluzo, kiu aŭtentiga aranĝo. Nenio tenas la du en sinkrono, pro kio profilo nomata „L2TP-oficejo“ povas esti IKEv2-servo.

Por persone kreita konekto, la posedanta aplikaĵo aŭ la propra VPN-panelo de la sistemo montras tiujn agordojn. Por administrata Mac, la profilo apartenas al la administranto, kaj la ĝusta movo estas peti ne-sekretan resumon anstataŭ redakti administritan ŝarĝon. La du kazoj aspektas similaj en la menuo kaj kondutas tute alie sube. Unu estas via por inspekti kaj ŝanĝi; la alia estas disdonita kaj estos restarigita ĉe la sekva kontrolo.

Tiu distingo gravas ĉar administritaj kaj personaj agordoj estas regataj malsame. Profilo instalita de administrado estos anstataŭigita aŭ reaplikita, do loka redakto aŭ malsukcesas aŭ silente reŝanĝiĝas. Petu de la posedanto la tipon, la kluzan identecon kaj la aŭtentigan metodon anstataŭ retroinĝenieri dosieron, kiun vi ne kontrolas.

Legu VPNType antaŭ ĉio alia en la ŝarĝo

La skemo de administrata VPN-ŝarĝo de Apple deklaras sian konektan tipon en la ŝlosilo VPNType, ene de vortaro, kies PayloadType estas com.apple.vpn.managed. La valoro estas mallonga ĵetono kiel IKEv2, IPsec, L2TP aŭ VPN, kaj ĉio alia en la ŝarĝo estas interpretata laŭ tiu ĵetono.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Ĉi tiu fragmento estas ilustra, ne instalinda: ĝi estas unu ero de ŝarĝa tabelo, senigita je la profilaj metadatenoj kaj akreditaĵoj, kiujn reala disdonado bezonas. Legu ĝin pro la formo, ne pro la enhavo. Rimarku ankaŭ, ke RemoteAddress kaj RemoteIdentifier estas malsamaj kampoj kun malsamaj taskoj, eĉ kiam disdonado donas al ili la saman ĉenon.

Malnova valoro kiel PPTP povas ankoraŭ aperi en malnova dosiero sen esti elekto, kiun la nuna macOS proponas por nova agordo. Trovi ĵetonon en konservita profilo pruvas, kio estis skribita, ne kion la operaciumo ankoraŭ akceptos.

Propraj tipoj bezonas VPNSubType kaj la posedantan aplikaĵon

Kiam VPNType estas VPN, la ŝarĝo devas ankaŭ porti VPNSubType, kiu identigas la kromprogramon aŭ la Network Extension-provizanton, kiu realigas la konekton. Tiu identigilo direktas la konekton al specifa kliento, do malĝusta subtipo produktas profilon, kiu instaliĝas kaj poste rifuzas ekstarti.

Ĉe provizantoj bazitaj sur aplikaĵa etendo, la identigilo apartenas al la entena aplikaĵo, ne al divenita etenda nomo, kaj tio estas la detalo, kiun homoj kutime maltrafas kiam ili permane redaktas profilon. Eĉ ĝusta subtipo priskribas la klienton, ne la dratan protokolon, la aŭtentigan metodon aŭ la foran alirpolitikon, kiun tiu kliento uzos.

Do propra ŝarĝo diras al vi, kiu programaro posedas la konekton, kaj malmulte pli. Por lerni, pri kio ĝi interkonsentas, legu la propran dokumentaron de tiu provizanto kaj ĝiajn agorditajn parametrojn. Kopii subtipon el la profilo de alia organizo ne estas agorda tekniko; ĝi estas diveno, kiu hazarde analizeblas.

Listigu, kion la Mac efektive agordis

Antaŭ ol legi iun ajn dosieron, demandu la sistemon, kiuj servoj ekzistas kaj en kiu stato ili estas. La komandlinia vido estas pli rapida ol klaki tra paneloj kaj ĝi presas la tipon apud ĉiu ero.

scutil --nc list
scutil --nc show "Office VPN"

La unua komando listigas agorditajn VPN-servojn kun ilia nuna stato, kaj la dua presas la agordojn de la elektita servo, inkluzive la tipon kaj la servilan adreson, kiun ĝi kontaktos. Komparu tiun adreson kun la kluzo, kiun oni diris al vi atendi, ĉar malnova ero montranta al emerita gastiganto estas ofta hereda problemo.

Ĉi tiuj komandoj montras agordon kaj staton; ili ne pruvas, ke tunelo portas trafikon. Se la servo estas malkonektita, la eligo priskribas intencon, ne funkciantan sesion. Konektita servo sen trafiko estas denove alia problemo, kutime enkursigado aŭ DNS, ne la protokola tipo. Tenu tiujn tri observojn apartaj, alie la diagnozo refalas al divenado.

Tenu konservitajn agordojn aparte de viva sesio

Konservita profilo estas deklaro de intenco. Ĝi ne montras, ke la kluzo ankoraŭ proponas tiun servon, ke ĉi tiu profilo estas la aktiva, aŭ ke sesio sukcese interkonsentis. Tiuj estas tri apartaj demandoj kaj ĉiu havas sian propran pruvon.

Uzu la statan vidon de la posedanto aŭ diagnozajn ilojn por identigi la aktivan konekton kaj la identecon, kiun la kluzo prezentis. Portoskano aŭ atestilo vidita en nerilata retejo respondas neniun el la demandoj, kaj la komuna nomo de atestilo ne estas la sama afero kiel la atendata fora identigilo.

Kiam la konservita tipo ne plu kongruas kun tio, kion la kluzo subtenas, akiru anstataŭan profilon de ĝia posedanto. Ŝanĝi la tipan ĉenon ne tradukas akreditaĵojn inter protokoloj, kaj ĝi ne igas unu aŭtentigan aranĝon alia. Kunhavigu la resumon ankaŭ tra la aprobita subtena kanalo, ĉar eksportitaj agordoj povas porti akreditaĵojn kaj privatajn ŝlosilojn, kiujn subtena peto neniam bezonis.