Que protocolo está detrás dese perfil de VPN do Mac gardado?

Alguén chama «VPN de oficina» a unha conexión do Mac, a etiqueta sobrevive a dúas migracións do servidor e todo o mundo segue chamándoa a VPN de oficina moito despois de que o protocolo cambiase. O nome é un alcume gardado xunto á configuración; non é proba do que negocia o Mac. Ler o tipo declarado custa un campo, e separar ese tipo gardado dunha sesión activa custa un paso máis. Esta é a orde que evita adiviñar.

A etiqueta é un alcume, a carga útil declara o tipo

Un servizo de VPN de macOS é unha entrada de configuración do sistema cun nome visible, un cliente propietario e un conxunto de axustes tipados. O nome visible é texto libre, editable por quen creou a entrada, e é a parte que os usuarios ven na barra de menús. Os axustes levan os feitos: que tipo de conexión, que pasarela, que esquema de autenticación. Nada mantén ambos sincronizados, por iso un perfil chamado «oficina L2TP» pode ser un servizo IKEv2.

Nunha conexión creada persoalmente, a aplicación propietaria ou o propio panel de VPN do sistema mostran eses axustes. Nun Mac xestionado, o perfil pertence ao administrador, e o movemento correcto é pedir un resumo sen segredos en lugar de editar unha carga útil xestionada. Os dous casos parecen iguais na barra de menús e compórtanse de xeito totalmente distinto por baixo. Un é seu para inspeccionalo e cambialo; o outro está despregado e restaurarase na próxima comprobación.

Esa distinción importa porque as configuracións xestionadas e as persoais gobérnanse de xeito distinto. Un perfil instalado pola xestión substituirase ou volverase aplicar, así que unha edición local ou falla ou reverte en silencio. Pida ao propietario o tipo, a identidade da pasarela e o método de autenticación en lugar de facer enxeñaría inversa dun ficheiro que non controla.

Lea VPNType antes que calquera outra cousa na carga útil

O esquema de carga útil de VPN xestionada de Apple declara o seu tipo de conexión na clave VPNType, dentro dun dicionario cuxo PayloadType é com.apple.vpn.managed. O valor é un token curto como IKEv2, IPsec, L2TP ou VPN, e todo o demais da carga útil interprétase segundo ese token.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Este fragmento é ilustrativo e non instalable: é unha entrada dun arranxo de carga útil, despoxada dos metadatos do perfil e das credenciais que necesita un despregamento real. Léao pola forma, non polo contido. Fixe tamén que RemoteAddress e RemoteIdentifier son campos distintos con traballos distintos, aínda cando un despregamento lles dá a mesma cadea.

Un valor herdado como PPTP aínda pode aparecer nun ficheiro antigo sen ser unha opción que o macOS actual ofreza para unha configuración nova. Atopar un token nun perfil gardado demostra que se escribiu, non que aceptará aínda o sistema operativo.

Os tipos personalizados necesitan VPNSubType e a aplicación propietaria

Cando VPNType é VPN, a carga útil tamén debe levar VPNSubType, que identifica o complemento ou o provedor de Network Extension que implementa a conexión. Ese identificador é o que encamiña a conexión a un cliente concreto, así que un subtipo equivocado produce un perfil que se instala e despois se nega a arrincar.

Nos provedores baseados en extensións de aplicación, o identificador pertence á aplicación contedora e non a un nome de extensión adiviñado, e ese é o detalle que a xente adoita equivocar ao editar un perfil a man. Mesmo un subtipo correcto describe o cliente, non o protocolo de cable, o método de autenticación nin a política de acceso remoto que usará ese cliente.

Así, unha carga útil personalizada di que software posúe a conexión e pouco máis. Para saber que negocia, lea a documentación propia dese provedor e os seus axustes configurados. Copiar un subtipo do perfil doutra organización non é unha técnica de configuración; é unha conxectura que dá a casualidade de analizarse.

Enumere o que o Mac configurou realmente

Antes de ler calquera ficheiro, pregunte ao sistema que servizos existen e en que estado están. A vista de liña de ordes é máis rápida que facer clic polos paneis e imprime o tipo xunto a cada entrada.

scutil --nc list
scutil --nc show "Office VPN"

O primeiro comando enumera os servizos de VPN configurados co seu estado actual, e o segundo imprime os axustes do servizo seleccionado, incluídos o tipo e o enderezo do servidor co que contactará. Compare ese enderezo coa pasarela que lle dixeron que esperase, porque unha entrada obsoleta que apunta a un servidor retirado é un problema de herdanza habitual.

Estes comandos mostran configuración e estado; non demostran que un túnel leve tráfico. Se o servizo está desconectado, a saída describe unha intención e non unha sesión que funcione. Un servizo conectado sen tráfico é outro problema distinto, normalmente encamiñamento ou DNS e non o tipo de protocolo. Manteña esas tres observacións separadas ou o diagnóstico volve ás conxecturas.

Manteña os axustes gardados á parte dunha sesión activa

Un perfil gardado é unha declaración de intención. Non mostra que a pasarela siga ofrecendo ese servizo, que este perfil sexa o activo ou que unha sesión negociase con éxito. Son tres preguntas separadas e cada unha ten a súa propia evidencia.

Use a vista de estado do propietario ou ferramentas de diagnóstico para identificar a conexión activa e a identidade que presentou a pasarela. Unha exploración de portos ou un certificado visto nun sitio non relacionado non responde a ningunha das dúas preguntas, e o nome común dun certificado non é o mesmo que o identificador remoto esperado.

Cando o tipo gardado xa non coincide co que admite a pasarela, consiga un perfil de substitución do seu propietario. Cambiar a cadea do tipo non traduce credenciais entre protocolos nin converte un esquema de autenticación noutro. Comparta tamén o resumo pola canle de soporte aprobada, xa que as configuracións exportadas poden levar credenciais e chaves privadas que unha solicitude de soporte nunca necesitou.