Quel protocole se cache derrière ce profil VPN Mac enregistré ?

Quelqu’un nomme une connexion Mac « VPN du bureau », l’étiquette survit à deux migrations de serveur, et tout le monde continue de l’appeler le VPN du bureau bien après le changement de protocole. Le nom est un surnom stocké à côté de la configuration ; il ne prouve pas ce que le Mac négocie. Lire le type déclaré demande un champ, et séparer ce type stocké d’une session active demande une étape de plus. Voici l’ordre qui évite de deviner.

L’étiquette est un surnom, la charge utile déclare le type

Un service VPN macOS est une entrée de configuration système avec un nom affiché, un client propriétaire et un ensemble de réglages typés. Le nom affiché est un texte libre, modifiable par quiconque a créé l’entrée, et c’est la partie que les utilisateurs voient dans la barre des menus. Les réglages portent les faits : quel type de connexion, quelle passerelle, quel schéma d’authentification. Rien ne maintient les deux synchronisés, ce qui explique qu’un profil nommé « bureau L2TP » puisse être un service IKEv2.

Pour une connexion créée personnellement, l’application propriétaire ou le panneau VPN du système affichent ces réglages. Sur un Mac géré, le profil appartient à l’administrateur, et le bon geste est de demander un résumé non secret plutôt que de modifier une charge utile gérée. Les deux cas se ressemblent dans la barre des menus et se comportent tout autrement en dessous. L’un est à vous pour l’inspecter et le modifier ; l’autre est déployé et sera restauré au prochain contrôle.

Cette distinction compte parce que les configurations gérées et personnelles sont gouvernées différemment. Un profil installé par la gestion sera remplacé ou réappliqué, donc une modification locale échoue ou revient en silence. Demandez au propriétaire le type, l’identité de la passerelle et la méthode d’authentification plutôt que de faire de l’ingénierie inverse sur un fichier que vous ne contrôlez pas.

Lisez VPNType avant tout le reste dans la charge utile

Le schéma de charge utile VPN gérée d’Apple déclare son type de connexion dans la clé VPNType, à l’intérieur d’un dictionnaire dont le PayloadType est com.apple.vpn.managed. La valeur est un jeton court comme IKEv2, IPsec, L2TP ou VPN, et tout le reste de la charge utile s’interprète selon ce jeton.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Ce fragment est illustratif et non installable : c’est une entrée d’un tableau de charge utile, dépouillée des métadonnées de profil et des identifiants dont un déploiement réel a besoin. Lisez-le pour la forme, pas pour le contenu. Notez aussi que RemoteAddress et RemoteIdentifier sont des champs différents aux tâches différentes, même quand un déploiement leur donne la même chaîne.

Une valeur héritée comme PPTP peut encore apparaître dans un ancien fichier sans être un choix que le macOS actuel propose pour une nouvelle configuration. Trouver un jeton dans un profil enregistré prouve ce qui a été écrit, pas ce que le système d’exploitation acceptera encore.

Les types personnalisés exigent VPNSubType et l’application propriétaire

Quand VPNType vaut VPN, la charge utile doit aussi porter VPNSubType, qui identifie le plug-in ou le fournisseur Network Extension qui implémente la connexion. C’est cet identifiant qui achemine la connexion vers un client précis, si bien qu’un sous-type erroné produit un profil qui s’installe puis refuse de démarrer.

Pour les fournisseurs fondés sur une extension d’application, l’identifiant appartient à l’application conteneuse et non à un nom d’extension deviné, et c’est le détail que les gens se trompent souvent en modifiant un profil à la main. Même un sous-type correct décrit le client, pas le protocole filaire, la méthode d’authentification ni la politique d’accès distant que ce client utilisera.

Ainsi, une charge utile personnalisée vous dit quel logiciel possède la connexion et peu d’autre chose. Pour savoir ce qu’elle négocie, lisez la documentation propre à ce fournisseur et ses réglages configurés. Copier un sous-type depuis le profil d’une autre organisation n’est pas une technique de configuration ; c’est une supposition qui se trouve être analysable.

Énumérez ce que le Mac a réellement configuré

Avant de lire le moindre fichier, demandez au système quels services existent et dans quel état ils sont. La vue en ligne de commande est plus rapide que le clic dans les panneaux et elle imprime le type à côté de chaque entrée.

scutil --nc list
scutil --nc show "Office VPN"

La première commande énumère les services VPN configurés avec leur état actuel, et la seconde imprime les réglages du service sélectionné, y compris le type et l’adresse de serveur qu’il contactera. Comparez cette adresse à la passerelle que l’on vous a dit d’attendre, car une entrée périmée pointant vers un hôte retiré est un problème d’héritage courant.

Ces commandes affichent la configuration et l’état ; elles ne prouvent pas qu’un tunnel transporte du trafic. Si le service est déconnecté, la sortie décrit une intention et non une session qui fonctionne. Un service connecté sans trafic est encore un autre problème, généralement le routage ou le DNS et non le type de protocole. Gardez ces trois observations séparées, sinon le diagnostic retombe dans les suppositions.

Gardez les réglages enregistrés à part d’une session active

Un profil enregistré est une déclaration d’intention. Il ne montre pas que la passerelle offre encore ce service, que ce profil est celui actif ou qu’une session a négocié avec succès. Ce sont trois questions distinctes et chacune a sa propre preuve.

Utilisez la vue d’état du propriétaire ou des outils de diagnostic pour identifier la connexion active et l’identité présentée par la passerelle. Un balayage de ports ou un certificat vu sur un site sans rapport ne répond à aucune des deux questions, et le nom commun d’un certificat n’est pas la même chose que l’identifiant distant attendu.

Quand le type stocké ne correspond plus à ce que la passerelle prend en charge, procurez-vous un profil de remplacement auprès de son propriétaire. Changer la chaîne de type ne traduit pas les identifiants entre protocoles et ne transforme pas un schéma d’authentification en un autre. Partagez aussi le résumé par le canal de support approuvé, car les configurations exportées peuvent porter des identifiants et des clés privées dont une demande de support n’a jamais eu besoin.