איזה פרוטוקול עומד מאחורי פרופיל ה-VPN השמור של ה-Mac?

מישהו קורא לחיבור Mac בשם „VPN משרד“, התווית שורדת שתי העברות שרת, וכולם ממשיכים לקרוא לו VPN משרד הרבה אחרי שהפרוטוקול השתנה. השם הוא כינוי שנשמר לצד התצורה; הוא אינו הוכחה למה שה-Mac מנהל משא ומתן עליו. קריאת הסוג המוצהר דורשת שדה אחד, והפרדת הסוג השמור הזה מפעימה חיה דורשת עוד שלב. הנה הסדר שנמנע מניחושים.

התווית היא כינוי, המטען מצהיר על הסוג

שירות VPN ב-macOS הוא רשומת תצורת מערכת עם שם מוצג, לקוח בעלים וקבוצת הגדרות בעלות טיפוס. השם המוצג הוא טקסט חופשי, שניתן לעריכה על ידי מי שיצר את הרשומה, והוא החלק שהמשתמשים רואים בשורת התפריטים. ההגדרות נושאות את העובדות: איזה סוג חיבור, איזה שער, איזו שיטת אימות. שום דבר לא שומר על סנכרון בין השניים, ולכן פרופיל בשם „משרד L2TP“ יכול להיות שירות IKEv2.

בחיבור שנוצר באופן אישי, היישום הבעלים או פאנל ה-VPN של המערכת עצמה מציגים את ההגדרות האלה. ב-Mac מנוהל, הפרופיל שייך למנהל, והמהלך הנכון הוא לבקש תקציר שאינו סודי במקום לערוך מטען מנוהל. שני המקרים נראים דומה בשורת התפריטים ומתנהגים אחרת לגמרי מתחת. האחד שלכם לבדיקה ולשינוי; השני פרוס וישוחזר בבדיקה הבאה.

ההבחנה הזו חשובה כי תצורות מנוהלות ואישיות נשלטות אחרת. פרופיל שהותקן על ידי הניהול יוחלף או יוחל מחדש, ולכן עריכה מקומית או נכשלת או חוזרת בשקט. בקשו מהבעלים את הסוג, זהות השער ושיטת האימות במקום להנדס לאחור קובץ שאינכם שולטים בו.

קראו את VPNType לפני כל דבר אחר במטען

לפי סכימת מטען ה-VPN המנוהל של Apple, סוג החיבור מוצהר במפתח VPNType, בתוך מילון ש-PayloadType שלו הוא com.apple.vpn.managed. הערך הוא אסימון קצר כמו IKEv2, IPsec, L2TP או VPN, וכל השאר במטען מפורש לפי אותו אסימון.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

הקטע הזה הוא להמחשה ולא להתקנה: הוא רשומה אחת ממערך מטען, שנגזזו ממנו מטא-נתוני הפרופיל והאישורים שפריסה אמיתית צריכה. קראו אותו בשביל הצורה, לא בשביל התוכן. שימו לב גם ש-RemoteAddress ו-RemoteIdentifier הם שדות שונים עם תפקידים שונים, גם כשפריסה נותנת להם את אותה מחרוזת.

ערך מדור קודם כמו PPTP עשוי עדיין להופיע בקובץ ישן בלי להיות בחירה שה-macOS הנוכחי מציע לתצורה חדשה. מציאת אסימון בפרופיל שמור מוכיחה מה נכתב, לא מה מערכת ההפעלה תקבל עדיין.

סוגים מותאמים צריכים VPNSubType ואת היישום הבעלים

כאשר VPNType הוא VPN, המטען חייב לשאת גם VPNSubType, שמזהה את התוסף או ספק ה-Network Extension שמממש את החיבור. המזהה הזה הוא שמנתב את החיבור ללקוח מסוים, ולכן תת-סוג שגוי מייצר פרופיל שמתקין ואז מסרב לעלות.

אצל ספקים המבוססים על הרחבת יישום, המזהה שייך ליישום המכיל ולא לשם הרחבה מנחש, וזה הפרט שאנשים בדרך כלל טועים בו בעת עריכת פרופיל ביד. אפילו תת-סוג נכון מתאר את הלקוח, לא את פרוטוקול התיל, את שיטת האימות או את מדיניות הגישה מרחוק שהלקוח הזה ישתמש בה.

אז מטען מותאם אומר לכם איזו תוכנה מחזיקה בחיבור ועוד מעט. כדי לדעת על מה הוא מנהל משא ומתן, קראו את התיעוד של אותו ספק ואת ההגדרות המוגדרות שלו. העתקת תת-סוג מפרופיל של ארגון אחר אינה טכניקת תצורה; היא ניחוש שבמקרה מנותח.

רשמו מה ה-Mac באמת הגדיר

לפני קריאת כל קובץ, שאלו את המערכת אילו שירותים קיימים ובאיזה מצב הם. תצוגת שורת הפקודה מהירה יותר מלחיצה על פאנלים והיא מדפיסה את הסוג לצד כל רשומה.

scutil --nc list
scutil --nc show "Office VPN"

הפקודה הראשונה מציגה את שירותי ה-VPN המוגדרים עם מצבם הנוכחי, והשנייה מדפיסה את הגדרות השירות הנבחר, כולל הסוג וכתובת השרת שאיתה ייצור קשר. השוו את הכתובת לשער שאמרו לכם לצפות לו, כי רשומה מיושנת שמצביעה על מארח שהוצא משימוש היא בעיית ירושה נפוצה.

הפקודות האלה מציגות תצורה ומצב; הן לא מוכיחות שמנהרה נושאת תעבורה. אם השירות מנותק, הפלט מתאר כוונה ולא פעימה עובדת. שירות מחובר בלי תעבורה הוא שוב בעיה אחרת, בדרך כלל ניתוב או DNS ולא סוג הפרוטוקול. החזיקו את שלוש התצפיות האלה בנפרד, אחרת האבחון חוזר לניחושים.

החזיקו הגדרות שמורות בנפרד מפעימה חיה

פרופיל שמור הוא הצהרת כוונה. הוא לא מראה שהשער עדיין מציע את השירות הזה, שהפרופיל הזה הוא הפעיל או שפעימה ניהלה משא ומתן בהצלחה. אלה שלוש שאלות נפרדות ולכל אחת הראיות שלה.

השתמשו בתצוגת המצב של הבעלים או בכלי אבחון כדי לזהות את החיבור הפעיל ואת הזהות שהשער הציג. סריקת פורטים או תעודה שנראו באתר לא קשור לא עונות על אף אחת מהשאלות, והשם הנפוץ של תעודה אינו זהה למזהה המרוחק הצפוי.

כשהסוג השמור כבר לא מתאים למה שהשער תומך בו, השיגו פרופיל חלופי מהבעלים שלו. שינוי מחרוזת הסוג לא מתרגם אישורים בין פרוטוקולים והוא לא הופך שיטת אימות אחת לאחרת. שתפו את התקציר גם בערוץ התמיכה המאושר, כי תצורות מיוצאות יכולות לשאת אישורים ומפתחות פרטיים שבקשת תמיכה מעולם לא נזקקה להם.