Hokker protokol sit efter dat bewarre Mac-VPN-profyl?

Immen neamt in Mac-ferbining „Kantoar-VPN“, it label oerlibbet twa servermigraasjes, en elkenien neamt it noch altyd de kantoar-VPN lang nei’t it protokol feroare is. De namme is in bynamme dy’t njonken de konfiguraasje bewarre wurdt; it is gjin bewiis fan wat de Mac ûnderhannelt. It ferklearre type lêze kostet ien fjild, en dat bewarre type fan in libbene sesje skiede kostet noch in stap. Hjir is de oarder dy’t rieden foarkomt.

It label is in bynamme, de payload ferklearret it type

In macOS-VPN-tsjinst is in systeemkonfiguraasje-item mei in werjûn namme, in eigener-client en in set fan typearre ynstellingen. De werjûne namme is frije tekst, te bewurkjen troch wa’t it item oanmakke hat, en it is it diel dat brûkers yn ’e menubalke sjogge. De ynstellingen drage de feiten: hokker ferbiningstype, hokker gateway, hokker autentikaasje-ôfspraak. Neat hâldt de beide syngroan, dêrom kin in profyl mei de namme „L2TP-kantoar“ in IKEv2-tsjinst wêze.

By in persoanlik oanmakke ferbining litte de eigener-applikaasje of it eigen VPN-paniel fan it systeem dy ynstellingen sjen. By in beheard Mac heart it profyl ta de administrater, en de krekte set is in net-geheim gearfetting freegje ynstee fan in beheard payload te bewurkjen. De beide gefallen lykje yn ’e menubalke itselde en gedrage har derûnder hiel oars. Ien is fan jo om te besjen en te feroarjen; de oare is útrôle en sil by de folgjende kontrôle werombrocht wurde.

Dat ûnderskie is wichtich om’t behearde en persoanlike konfiguraasjes oars regele wurde. In profyl dat troch behear ynstallearre is, wurdt ferfongen of op ’e nij tapast, dus in lokale bewurking mislearret of giet stil werom. Freegje de eigener om it type, de gateway-identiteit en de autentikaasjemetoade ynstee fan in bestân dat jo net beheare om te kearen te ûntwerpen.

Lês VPNType foar al it oare yn ’e payload

It skema foar behearde VPN-payload fan Apple ferklearret syn ferbiningstype yn ’e kaai VPNType, binnen in wurdboek wêrfan’t PayloadType com.apple.vpn.managed is. De wearde is in koart token lykas IKEv2, IPsec, L2TP of VPN, en al it oare yn ’e payload wurdt neffens dat token ynterpretearre.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Dit fragmint is yllustratyf en net ynstallearber: it is ien item fan in payload-array, ûntdien fan de profylmetadata en de bewiisstikken dy’t in echte útrôl nedich hat. Lês it foar de foarm, net foar de ynhâld. Tink der ek om dat RemoteAddress en RemoteIdentifier ferskate fjilden mei ferskate taken binne, sels as in útrôl har deselde tekenrige jout.

In âlde wearde lykas PPTP kin noch yn in âld bestân ferskine sûnder in kar te wêzen dy’t it hjoeddeiske macOS foar in nije konfiguraasje biedt. In token yn in bewarre profyl fine bewiist wat skreaun is, net wat it bestjoeringssysteem noch akseptearje sil.

Oanpaste typen hawwe VPNSubType en de eigener-app nedich

As VPNType VPN is, moat de payload ek VPNSubType drage, dat de plug-in of Network Extension-provider identifisearret dy’t de ferbining ymplemintearret. Krekt dat identifikaasje stjoert de ferbining nei in bepaald client, dus in ferkeard subtype makket in profyl dat ynstallearret en dan wegeret te starten.

By providers op basis fan app-útwreiding heart it identifikaasje ta de omfetsjende app en net ta in rieden útwreidingsnamme, en dat is it detail dat minsken ornaris ferkeard krije by it mei de hân bewurkjen fan in profyl. Sels in krekt subtype beskriuwt de client, net it triedprotokol, de autentikaasjemetoade of it belied foar tagong op ôfstân dat dy client brûke sil.

Sa fertelt in oanpaste payload hokker software de ferbining besit en net folle mear. Om te learen wat it ûnderhannelt, lês de eigen dokumintaasje fan dy provider en syn konfigurearre ynstellingen. In subtype fan it profyl fan in oare organisaasje kopiearje is gjin konfiguraasjetechnyk; it is in rieden dy’t tafallich parset.

Lis op wat de Mac eins konfigurearre hat

Freegje it systeem hokker tsjinsten besteane en yn hokker steat se binne foardat jo hokker bestân dan ek lêze. De kommandorigelwerjefte is flugger as troch panielen klikke en it prints it type njonken elk item.

scutil --nc list
scutil --nc show "Office VPN"

It earste kommando listet konfigurearre VPN-tsjinsten op mei har hjoeddeistige status, en it twadde prints de ynstellingen fan ’e keazen tsjinst, ynklusyf it type en it serveradres dat it kontakt opnimme sil. Fergelykje dat adres mei de gateway dy’t jo sein wie te ferwachtsjen, want in ferâldere item dat nei in ôftreden host wiist is in gewoan erfenisprobleem.

Dizze kommando’s litte konfiguraasje en status sjen; se bewiize net dat in tunnel ferkear draacht. As de tsjinst loskeppele is, beskriuwt de útfier in bedoeling ynstee fan in wurkjende sesje. In ferbûne tsjinst sûnder ferkear is wer in oar probleem, meastal routing of DNS en net it protokoltype. Hâld dy trije observaasjes apart, oars falt de diagnoaze werom op rieden.

Hâld bewarre ynstellingen apart fan in libbene sesje

In bewarre profyl is in ferklearring fan bedoeling. It lit net sjen dat de gateway dy tsjinst noch biedt, dat dit profyl it aktive is, of dat in sesje mei súkses ûnderhannele is. Dat binne trije aparte fragen en elk hat syn eigen bewiis.

Brûk de statuswerjefte fan ’e eigener of diagnostyske ark om de aktive ferbining en de identiteit dy’t de gateway presintearre te identifisearjen. In poartescan of in sertifikaat dat op in net besibbe side sjoen is, beantwurdet gjin fan beide fragen, en de gewoane namme fan in sertifikaat is net itselde as it ferwachte identifikaasje op ôfstân.

As it bewarre type net mear past by wat de gateway stipet, helje dan in ferfangend profyl by syn eigener. It type-tekenrige feroarje oerset gjin bewiisstikken tusken protokollen, en it makket fan ien autentikaasje-ôfspraak gjin oare. Diel de gearfetting ek fia it goedkarde stipekanaal, want eksportearre konfiguraasjes kinne bewiisstikken en privee kaaien drage dy’t in stipefersyk nea nedich hie.