Melyik protokoll van a mentett Mac VPN-profil mögött?

Valaki „Irodai VPN”-nek nevez el egy Mac-kapcsolatot, a címke túlél két szervermigrációt, és mindenki továbbra is irodai VPN-nek hívja jóval azután, hogy a protokoll megváltozott. A név a konfiguráció mellett tárolt becenév; nem bizonyíték arra, miről tárgyal a Mac. A deklarált típus elolvasása egy mező, a tárolt típus élő munkamenettől való elválasztása még egy lépés. Íme a sorrend, amely elkerüli a találgatást.

A címke becenév, a hasznos adat deklarálja a típust

A macOS VPN-szolgáltatás egy rendszerkonfigurációs bejegyzés megjelenített névvel, tulajdonos klienssel és típusosított beállításokkal. A megjelenített név szabad szöveg, bárki szerkesztheti, aki a bejegyzést létrehozta, és ezt látják a felhasználók a menüsorban. A beállítások hordozzák a tényeket: milyen kapcsolattípus, melyik átjáró, milyen hitelesítési elrendezés. Semmi sem tartja a kettőt összhangban, ezért lehet egy „L2TP iroda” nevű profil IKEv2-szolgáltatás.

Személyesen létrehozott kapcsolat esetén ezeket a beállításokat a tulajdonos alkalmazás vagy a rendszer saját VPN-panelje mutatja. Kezelt Macen a profil a rendszergazdáé, és a helyes lépés egy nem titkos összefoglaló kérése a kezelt hasznos adat szerkesztése helyett. A két eset a menüsorban hasonlónak látszik, alatta teljesen másképp viselkedik. Az egyik az Öné, hogy megvizsgálja és módosítsa; a másik telepített, és a következő ellenőrzéskor visszaáll.

Ez a különbség számít, mert a kezelt és a személyes konfigurációkat eltérően kormányozzák. A kezelés által telepített profil lecserélődik vagy újra alkalmazzák, így a helyi szerkesztés vagy meghiúsul, vagy csendben visszaáll. Kérje a tulajdonostól a típust, az átjáró identitását és a hitelesítési módszert, ahelyett hogy olyan fájlt fejtene vissza, amelyet nem irányít.

A VPNType-ot olvassa el minden más előtt a hasznos adatban

Az Apple kezelt VPN hasznosadat-sémája a kapcsolattípust a VPNType kulcsban deklarálja, egy olyan szótáron belül, amelynek PayloadType értéke com.apple.vpn.managed. Az érték rövid token, például IKEv2, IPsec, L2TP vagy VPN, és a hasznos adat minden más része e token szerint értelmeződik.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Ez a töredék szemléltető, nem telepíthető: egy hasznosadat-tömb egyik bejegyzése, megfosztva a profil metaadataitól és a valódi telepítéshez szükséges hitelesítő adatoktól. A forma miatt olvassa, nem a tartalom miatt. Vegye észre azt is, hogy a RemoteAddress és a RemoteIdentifier különböző mezők különböző feladatokkal, akkor is, ha egy telepítés ugyanazt a karakterláncot adja nekik.

Egy örökölt érték, például a PPTP, még megjelenhet egy régi fájlban anélkül, hogy a jelenlegi macOS új konfigurációhoz kínált választása lenne. Egy token megtalálása egy tárolt profilban azt bizonyítja, mi íródott, nem azt, mit fogad még el az operációs rendszer.

Az egyéni típusokhoz VPNSubType és a tulajdonos alkalmazás kell

Amikor a VPNType VPN, a hasznos adatnak VPNSubType-ot is hordoznia kell, amely azonosítja a kapcsolatot megvalósító bővítményt vagy Network Extension-szolgáltatót. Ez az azonosító irányítja a kapcsolatot egy adott klienshez, ezért a hibás altípus olyan profilt eredményez, amely települ, majd megtagadja az indulást.

Az alkalmazásbővítmény-alapú szolgáltatóknál az azonosító a tartalmazó alkalmazáshoz tartozik, nem egy kitalált bővítménynévhez, és ez az a részlet, amelyet az emberek általában elrontanak, amikor kézzel szerkesztenek egy profilt. Még a helyes altípus is a klienst írja le, nem a huzalprotokollt, a hitelesítési módszert vagy azt a távoli hozzáférési házirendet, amelyet ez a kliens használni fog.

Tehát egy egyéni hasznos adat megmondja, melyik szoftver birtokolja a kapcsolatot, és kevés mást. Ahhoz, hogy megtudja, miről tárgyal, olvassa el a szolgáltató saját dokumentációját és beállított paramétereit. Egy altípus átmásolása egy másik szervezet profiljából nem konfigurációs technika; ez egy találgatás, amely véletlenül feldolgozható.

Sorolja fel, mit konfigurált valójában a Mac

Mielőtt bármelyik fájlt elolvasná, kérdezze meg a rendszertől, milyen szolgáltatások léteznek, és milyen állapotban vannak. A parancssori nézet gyorsabb, mint a paneleken végigkattintani, és minden bejegyzés mellé kinyomtatja a típust.

scutil --nc list
scutil --nc show "Office VPN"

Az első parancs felsorolja a konfigurált VPN-szolgáltatásokat jelenlegi állapotukkal, a második pedig kinyomtatja a kiválasztott szolgáltatás beállításait, beleértve a típust és a kiszolgáló címét, amellyel kapcsolatba lép. Hasonlítsa össze ezt a címet a várt átjáróval, mert egy kivont gazdagépre mutató elavult bejegyzés gyakori örökségprobléma.

Ezek a parancsok konfigurációt és állapotot mutatnak; nem bizonyítják, hogy egy alagút forgalmat szállít. Ha a szolgáltatás le van kapcsolva, a kimenet szándékot ír le, nem működő munkamenetet. Egy csatlakoztatott szolgáltatás forgalom nélkül megint más probléma, általában útválasztás vagy DNS, nem a protokolltípus. Tartsa ezt a három megfigyelést külön, különben a diagnózis visszazuhan a találgatásba.

Tartsa a tárolt beállításokat elkülönítve az élő munkamenettől

A tárolt profil szándéknyilatkozat. Nem mutatja, hogy az átjáró még kínálja-e azt a szolgáltatást, hogy ez a profil az aktív, vagy hogy egy munkamenet sikeresen tárgyalt. Ez három külön kérdés, és mindegyiknek megvan a maga bizonyítéka.

Használja a tulajdonos állapotnézetét vagy diagnosztikai eszközöket az aktív kapcsolat és az átjáró által bemutatott identitás azonosítására. Egy portvizsgálat vagy egy nem kapcsolódó oldalon látott tanúsítvány egyik kérdésre sem válaszol, és egy tanúsítvány köznapi neve nem ugyanaz, mint a várt távoli azonosító.

Amikor a tárolt típus már nem egyezik azzal, amit az átjáró támogat, szerezzen csereprofilt a tulajdonosától. A típuskarakterlánc megváltoztatása nem fordítja le a hitelesítő adatokat a protokollok között, és nem tesz egy hitelesítési elrendezést egy másikká. Ossza meg az összefoglalót a jóváhagyott támogatási csatornán is, mert az exportált konfigurációk olyan hitelesítő adatokat és titkos kulcsokat hordozhatnak, amelyekre egy támogatási kérésnek soha nem volt szüksége.