SonicWall VPN sur un Mac : client SSL ou L2TP natif ?

Commencez par le Mac, puis avancez vers l’extérieur, car la décision du client est prise par le pare-feu et ne se reflète que sur le bureau. Ouvrez Réglages Système, regardez quelle configuration VPN existe déjà et posez une seule question à l’administrateur avant de saisir un mot de passe. La réponse est le service d’accès distant activé, pas le modèle de l’appareil sur la page de connexion. Deux clients peuvent cohabiter sur un portable sans que l’un des deux soit le bon.

Demandez à la passerelle quel service est actif

Deux services d’accès distant apparaissent sous le même nom de produit et se comportent de façon très différente. L’un est un SSL VPN auquel on accède avec un client de l’éditeur, l’autre est IPsec ou L2TP que le client intégré à macOS peut composer. Ils diffèrent par les ports, l’authentification et l’attribution d’adresses, si bien qu’un profil de l’un est inutile contre l’autre. Choisir depuis le seul côté Mac est une conjecture déguisée en configuration.

Demandez trois choses à la fois : le service qui est licencié et activé, le client et la version que ce service prend en charge sous macOS, et le flux d’authentification qu’il attend. Tout le reste vous laisse deviner à la panne suivante.

Suivez la voie du L2TP natif

Une connexion native existe sur le Mac dès qu’un profil a été ajouté, et le panneau de réglages l’affiche à côté du Wi-Fi et de l’Ethernet. Si la liste est vide, la machine n’a aucune configuration VPN et le problème est de l’ordre du provisionnement, pas de la connectivité. La commande ci-dessous affiche ce que le système détient réellement, y compris des configurations que l’interface peut masquer.

Lisez la sortie avant d’ajouter quoi que ce soit, car un profil ancien au nom familier est une cause fréquente pour qu’une nouvelle installation semble ignorée. Comparez ensuite l’adresse du serveur à celle que l’administrateur vous a donnée, pas à celle d’un ancien ticket. Les deux vérifications prennent une minute et écartent deux des impasses habituelles.

scutil --nc list
networksetup -listallnetworkservices

Une entrée L2TP native a aussi besoin du secret partagé, d’un nom d’utilisateur et d’un mot de passe, et d’une passerelle qui offre ce service sur les ports attendus. Quand l’un de ces éléments manque, le Mac signale une erreur d’authentification ou une erreur de serveur qui ne répond pas, et aucun des deux messages ne distingue un secret erroné d’un service qui n’a jamais été activé. Gardez les trois valeurs ensemble lorsque vous comparez vos notes avec l’administrateur.

Suivez la voie du client SSL

Un client SSL VPN se connecte en TLS à un portail, puis exécute son propre tunnel et sa propre politique d’adresses. Il a besoin de l’adresse du portail, d’un compte et du second facteur qu’impose le déploiement, et il installe généralement une extension réseau au premier lancement. Un profil exporté pour un client s’importe rarement dans un autre, même lorsque les deux parlent IPsec en dessous. Rien de tout cela n’apparaît dans la liste VPN des Réglages Système avant que l’extension soit approuvée.

Deux clients SSL installés côte à côte peuvent se disputer la même extension réseau, et celui chargé en premier l’emporte généralement. Supprimez le client inutilisé avant d’installer celui qui est approuvé, puis redémarrez pour que la liste des extensions soit reconstruite.

Comparez la version de macOS à la déclaration de prise en charge actuelle de l’éditeur avant l’installation, et attendez-vous à ce que l’installeur demande une autorisation dans Confidentialité et sécurité. Une extension bloquée ressemble exactement à une connexion qui ne démarre jamais.

Lisez correctement l’avis de changement de marque

Les noms de clients bougent, et un renommage n’est pas un changement de protocole. L’avis de l’éditeur selon lequel Mobile Connect devient NetExtender décrit du branding, donc une ancienne déclaration sur la prise en charge des plateformes de bureau ne peut pas être transposée à chaque application qui porte le nouveau nom.

Identifiez le client que vous avez réellement installé, par identifiant de bundle et version, plutôt que par l’étiquette de l’icône. Cette distinction décide quelle matrice de prise en charge s’applique à votre Mac.

Si le service activé et le client Mac pris en charge ne se recoupent pas, les options honnêtes sont un service alternatif approuvé ou un changement de passerelle planifié. Réécrire une politique commune pour satisfaire un seul portable, ou acheter une application parce qu’une réponse de forum l’a mentionnée, laisse la question de compatibilité exactement là où elle a commencé.