Mikä protokolla on tallennetun Macin VPN-profiilin takana?

Joku nimeää Mac-yhteyden ”toimiston VPN:ksi”, nimi selviää kahdesta palvelinmuutoksesta, ja kaikki kutsuvat sitä edelleen toimiston VPN:ksi kauan sen jälkeen, kun protokolla vaihtui. Nimi on konfiguraation viereen tallennettu lempinimi; se ei todista sitä, mistä Mac neuvottelee. Ilmoitetun tyypin lukeminen vaatii yhden kentän, ja tallennetun tyypin erottaminen elävästä istunnosta vielä yhden askeleen. Tässä on järjestys, joka välttää arvailun.

Nimi on lempinimi, hyötykuorma ilmoittaa tyypin

macOS:n VPN-palvelu on järjestelmän konfiguraatiomerkintä, jolla on näyttönimi, omistava asiakasohjelma ja joukko tyypitettyjä asetuksia. Näyttönimi on vapaata tekstiä, jonka merkinnän luonut voi muokata, ja se on se osa, jonka käyttäjät näkevät valikkorivillä. Asetukset kantavat tosiasiat: mikä yhteystyyppi, mikä yhdyskäytävä, mikä todennusjärjestely. Mikään ei pidä näitä kahta synkronissa, minkä vuoksi profiili nimeltä ”L2TP-toimisto” voi olla IKEv2-palvelu.

Henkilökohtaisesti luodun yhteyden kohdalla omistava sovellus tai järjestelmän oma VPN-paneeli näyttää ne asetukset. Hallinnoidussa Macissa profiili kuuluu ylläpitäjälle, ja oikea siirto on pyytää ei-salainen yhteenveto sen sijaan, että muokkaisi hallinnoitua hyötykuormaa. Kaksi tapausta näyttävät valikkorivillä samanlaisilta ja käyttäytyvät alla täysin eri tavoin. Toinen on sinun tarkasteltavaksi ja muutettavaksi; toinen on käyttöön otettu ja palautetaan seuraavassa tarkistuksessa.

Tällä erolla on merkitystä, koska hallinnoituja ja henkilökohtaisia konfiguraatioita hallitaan eri tavoin. Hallinnon asentama profiili korvataan tai otetaan uudelleen käyttöön, joten paikallinen muokkaus joko epäonnistuu tai palautuu hiljaa. Pyydä omistajalta tyyppi, yhdyskäytävän identiteetti ja todennusmenetelmä sen sijaan, että käänteismallintaisit tiedostoa, jota et hallitse.

Lue VPNType ennen muuta hyötykuormassa

Applen hallinnoidun VPN-hyötykuorman skeema ilmoittaa yhteystyypin avaimessa VPNType, sanakirjan sisällä, jonka PayloadType on com.apple.vpn.managed. Arvo on lyhyt tunniste, kuten IKEv2, IPsec, L2TP tai VPN, ja kaikki muu hyötykuormassa tulkitaan tuon tunnisteen mukaan.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Tämä katkelma on havainnollistava, ei asennettava: se on yksi hyötykuormataulukon merkintä, josta on riisuttu profiilin metatiedot ja kirjautumistiedot, joita todellinen käyttöönotto tarvitsee. Lue se muodon, älä sisällön vuoksi. Huomaa myös, että RemoteAddress ja RemoteIdentifier ovat eri kenttiä eri tehtävillä, vaikka käyttöönotto antaisi niille saman merkkijonon.

Vanha arvo kuten PPTP voi yhä esiintyä vanhassa tiedostossa olematta valinta, jota nykyinen macOS tarjoaa uudelle konfiguraatiolle. Tunnisteen löytäminen tallennetusta profiilista todistaa, mitä kirjoitettiin, ei sitä, mitä käyttöjärjestelmä yhä hyväksyy.

Mukautetut tyypit tarvitsevat VPNSubTypen ja omistavan sovelluksen

Kun VPNType on VPN, hyötykuorman on kannettava myös VPNSubType, joka yksilöi yhteyden toteuttavan liitännäisen tai Network Extension -tarjoajan. Juuri tämä tunniste ohjaa yhteyden tiettyyn asiakasohjelmaan, joten väärä alityyppi tuottaa profiilin, joka asentuu ja kieltäytyy sitten käynnistymästä.

Sovelluslaajennukseen perustuvilla tarjoajilla tunniste kuuluu sisältävälle sovellukselle, ei arvatulle laajennusnimelle, ja juuri tämän yksityiskohdan ihmiset yleensä saavat väärin muokatessaan profiilia käsin. Jo oikea alityyppi kuvaa asiakasohjelmaa, ei siirtoprotokollaa, todennusmenetelmää tai etäkäyttökäytäntöä, jota kyseinen asiakasohjelma käyttää.

Mukautettu hyötykuorma siis kertoo, mikä ohjelmisto omistaa yhteyden, ja vähän muuta. Saadaksesi selville, mistä se neuvottelee, lue kyseisen tarjoajan oma dokumentaatio ja sen määritetyt asetukset. Alityypin kopioiminen toisen organisaation profiilista ei ole konfigurointitekniikka; se on arvaus, joka sattuu jäsentymään.

Listaa, mitä Mac on todella konfiguroinut

Ennen kuin luet mitään tiedostoa, kysy järjestelmältä, mitä palveluja on olemassa ja missä tilassa ne ovat. Komentorivinäkymä on nopeampi kuin paneelien läpi klikkaileminen ja tulostaa tyypin jokaisen merkinnän viereen.

scutil --nc list
scutil --nc show "Office VPN"

Ensimmäinen komento listaa määritetyt VPN-palvelut nykyisine tiloineen, ja toinen tulostaa valitun palvelun asetukset, mukaan lukien tyypin ja palvelinosoitteen, johon se ottaa yhteyttä. Vertaa tätä osoitetta odottamaasi yhdyskäytävään, sillä vanhentunut merkintä, joka osoittaa käytöstä poistettuun isäntään, on tavallinen perintöongelma.

Nämä komennot näyttävät konfiguraation ja tilan; ne eivät todista, että tunneli kuljettaa liikennettä. Jos palvelu on irrotettu, tuloste kuvaa aikomuksen eikä toimivaa istuntoa. Yhdistetty palvelu ilman liikennettä on taas eri ongelma, yleensä reititys tai DNS eikä protokollatyyppi. Pidä nämä kolme havaintoa erillään, muuten diagnoosi palaa arvailuun.

Pidä tallennetut asetukset erillään elävästä istunnosta

Tallennettu profiili on aikomuslausunto. Se ei näytä, että yhdyskäytävä tarjoaa yhä tämän palvelun, että tämä profiili on aktiivinen tai että istunto neuvoteltiin onnistuneesti. Ne ovat kolme erillistä kysymystä ja jokaisella on oma todisteensa.

Käytä omistajan tilanäkymää tai diagnostiikkatyökaluja aktiivisen yhteyden ja yhdyskäytävän esittämän identiteetin tunnistamiseen. Porttiskannaus tai asiaankuulumattomalla sivustolla nähty varmenne ei vastaa kumpaakaan kysymykseen, eikä varmenteen yleisnimi ole sama asia kuin odotettu etätunniste.

Kun tallennettu tyyppi ei enää vastaa sitä, mitä yhdyskäytävä tukee, hanki korvaava profiili sen omistajalta. Tyypin merkkijonon muuttaminen ei käännä kirjautumistietoja protokollien välillä eikä tee yhdestä todennusjärjestelystä toista. Jaa yhteenveto myös hyväksyttyä tukikanavaa pitkin, sillä viedyt konfiguraatiot voivat kantaa kirjautumistietoja ja yksityisiä avaimia, joita tukipyyntö ei koskaan tarvinnut.