Milline protokoll on selle salvestatud Maci VPN-profiili taga?

Keegi nimetab Maci ühenduse „kontori VPN-iks“, silt elab üle kaks serveri migratsiooni ja kõik kutsuvad seda endiselt kontori VPN-iks kaua pärast seda, kui protokoll on muutunud. Nimi on konfiguratsiooni kõrvale salvestatud hüüdnimi; see ei ole tõend selle kohta, mille üle Mac läbi räägib. Deklareeritud tüübi lugemiseks kulub üks väli ja selle salvestatud tüübi eraldamiseks elavast seansist veel üks samm. Siin on järjekord, mis väldib oletamist.

Silt on hüüdnimi, kasulik koormus deklareerib tüübi

macOS-i VPN-teenus on süsteemi konfiguratsioonikirje, millel on kuvatav nimi, seda omav klient ja hulk tüübistatud seadeid. Kuvatav nimi on vaba tekst, mida saab muuta igaüks, kes kirje lõi, ja see on osa, mida kasutajad menüüribal näevad. Seaded kannavad fakte: milline ühenduse tüüp, milline lüüs, milline autentimisskeem. Miski ei hoia neid kahte sünkroonis, mistõttu profiil nimega „L2TP kontor“ võib olla IKEv2 teenus.

Isiklikult loodud ühenduse puhul näitavad neid seadeid seda omav rakendus või süsteemi enda VPN-paneel. Hallatud Macis kuulub profiil administraatorile ja õige käik on küsida mitte-salajast kokkuvõtet, mitte muuta hallatavat kasulikku koormust. Kaks juhtumit näevad menüüribal sarnased välja ja käituvad allpool täiesti erinevalt. Üks on teie oma uurida ja muuta; teine on juurutatud ja taastatakse järgmisel kontrollil.

See erinevus loeb, sest hallatavaid ja isiklikke konfiguratsioone juhitakse erinevalt. Halduse paigaldatud profiil asendatakse või rakendatakse uuesti, seega kohalik muudatus kas ebaõnnestub või võetakse vaikselt tagasi. Küsige omanikult tüüpi, lüüsi identiteeti ja autentimismeetodit, selle asemel et pöördprojekteerida faili, mida te ei kontrolli.

Lugege VPNType enne kõike muud kasulikus koormuses

Apple’i hallatava VPN-i kasuliku koormuse skeem deklareerib ühenduse tüübi võtmes VPNType, sõnastiku sees, mille PayloadType on com.apple.vpn.managed. Väärtus on lühike tunnus, näiteks IKEv2, IPsec, L2TP või VPN, ja kõike muud kasulikus koormuses tõlgendatakse selle tunnuse järgi.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

See fragment on illustratiivne, mitte paigaldatav: see on üks kasuliku koormuse massiivi kirje, millest on eemaldatud profiili metaandmed ja volitused, mida tegelik juurutus vajab. Lugege seda vormi, mitte sisu pärast. Pange tähele ka seda, et RemoteAddress ja RemoteIdentifier on erinevad väljad erinevate ülesannetega, isegi kui juurutus annab neile sama stringi.

Pärandväärtus nagu PPTP võib vanas failis endiselt esineda, olemata valik, mida praegune macOS uue konfiguratsiooni jaoks pakub. Tunnuse leidmine salvestatud profiilist tõestab, mis kirjutati, mitte seda, mida operatsioonisüsteem veel vastu võtab.

Kohandatud tüübid vajavad VPNSubType’i ja seda omavat rakendust

Kui VPNType on VPN, peab kasulik koormus kandma ka VPNSubType’i, mis määrab ühendust rakendava pistikprogrammi või Network Extensioni pakkuja. Just see identifikaator suunab ühenduse konkreetsesse kliendisse, seega vale alamtüüp loob profiili, mis paigaldub ja keeldub seejärel käivitumast.

Rakenduse laiendusel põhinevate pakkujate puhul kuulub identifikaator sisaldavale rakendusele, mitte oletatud laienduse nimele, ja see on detail, mille inimestel profiili käsitsi muutes tavaliselt valesti läheb. Isegi õige alamtüüp kirjeldab klienti, mitte traadiprotokolli, autentimismeetodit ega kaugjuurdepääsupoliitikat, mida see klient kasutab.

Nii ütleb kohandatud kasulik koormus, millisele tarkvarale ühendus kuulub, ja vähe muud. Et teada saada, mille üle see läbi räägib, lugege selle pakkuja enda dokumentatsiooni ja selle seadistatud parameetreid. Alamtüübi kopeerimine teise organisatsiooni profiilist ei ole konfiguratsioonitehnika; see on oletus, mis juhtumisi parsitakse.

Loetlege, mida Mac tegelikult konfigureeris

Enne mis tahes faili lugemist küsige süsteemilt, millised teenused on olemas ja millises olekus need on. Käsurea vaade on kiirem kui paneelidel klõpsamine ja see prindib tüübi iga kirje kõrval.

scutil --nc list
scutil --nc show "Office VPN"

Esimene käsk loetleb konfigureeritud VPN-teenused nende praeguse olekuga ja teine prindib valitud teenuse seaded, sealhulgas tüübi ja serveriaadressi, millega see ühendust võtab. Võrrelge seda aadressi lüüsiga, mida teile öeldi oodata, sest vananenud kirje, mis osutab kasutusest kõrvaldatud hostile, on tavaline pärandprobleem.

Need käsud näitavad konfiguratsiooni ja olekut; need ei tõesta, et tunnel kannab liiklust. Kui teenus on lahti ühendatud, kirjeldab väljund kavatsust, mitte toimivat seanssi. Ühendatud teenus ilma liikluseta on jälle teine probleem, tavaliselt marsruutimine või DNS, mitte protokolli tüüp. Hoidke neid kolme tähelepanekut lahus, muidu vajub diagnoos tagasi oletusteks.

Hoidke salvestatud seaded elavast seansist lahus

Salvestatud profiil on kavatsuse avaldus. See ei näita, et lüüs seda teenust endiselt pakub, et see profiil on aktiivne või et seanss läbirääkimised edukalt lõpetas. Need on kolm eraldi küsimust ja igal on oma tõend.

Kasutage omaniku olekuvaadet või diagnostikavahendeid, et tuvastada aktiivne ühendus ja identiteet, mille lüüs esitas. Pordiskaneerimine või sertifikaat, mida nähti mitteseotud saidil, ei vasta kummalelegi küsimusele, ja sertifikaadi üldnimi ei ole sama mis oodatud kaugidentifikaator.

Kui salvestatud tüüp ei vasta enam sellele, mida lüüs toetab, hankige selle omanikult asendusprofiil. Tüübistringi muutmine ei tõlgi volitusi protokollide vahel ega tee ühest autentimisskeemist teist. Jagage kokkuvõtet ka heakskiidetud tugikanali kaudu, sest eksporditud konfiguratsioonid võivad kanda volitusi ja privaatvõtmeid, mida tugitaotlus kunagi ei vajanud.