Quale protocollo c’è dietro quel profilo VPN del Mac salvato?

Qualcuno chiama «VPN ufficio» una connessione del Mac, l’etichetta sopravvive a due migrazioni del server e tutti continuano a chiamarla la VPN ufficio molto dopo che il protocollo è cambiato. Il nome è un soprannome salvato accanto alla configurazione; non è prova di ciò che il Mac negozia. Leggere il tipo dichiarato costa un campo, e separare quel tipo salvato da una sessione attiva costa un passo in più. Ecco l’ordine che evita di tirare a indovinare.

L’etichetta è un soprannome, il payload dichiara il tipo

Un servizio VPN di macOS è una voce di configurazione del sistema con un nome visualizzato, un client proprietario e un insieme di impostazioni tipizzate. Il nome visualizzato è testo libero, modificabile da chiunque abbia creato la voce, ed è la parte che gli utenti vedono nella barra dei menu. Le impostazioni portano i fatti: quale tipo di connessione, quale gateway, quale schema di autenticazione. Nulla tiene i due sincronizzati, per questo un profilo chiamato «ufficio L2TP» può essere un servizio IKEv2.

Per una connessione creata personalmente, l’app proprietaria o il pannello VPN del sistema mostrano quelle impostazioni. Su un Mac gestito, il profilo appartiene all’amministratore, e la mossa giusta è chiedere un riepilogo non segreto invece di modificare un payload gestito. I due casi sembrano uguali nella barra dei menu e si comportano in modo del tutto diverso sotto. Uno è tuo da ispezionare e cambiare; l’altro è distribuito e verrà ripristinato al controllo successivo.

Questa distinzione conta perché le configurazioni gestite e quelle personali sono governate diversamente. Un profilo installato dalla gestione verrà sostituito o riapplicato, quindi una modifica locale o fallisce o torna indietro in silenzio. Chiedi al proprietario il tipo, l’identità del gateway e il metodo di autenticazione invece di fare reverse engineering di un file che non controlli.

Leggi VPNType prima di qualunque altra cosa nel payload

Lo schema del payload VPN gestito di Apple dichiara il tipo di connessione nella chiave VPNType, dentro un dizionario il cui PayloadType è com.apple.vpn.managed. Il valore è un token breve come IKEv2, IPsec, L2TP o VPN, e tutto il resto del payload viene interpretato secondo quel token.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Questo frammento è illustrativo e non installabile: è una voce di un array di payload, spogliata dei metadati del profilo e delle credenziali che serve un dispiegamento reale. Leggilo per la forma, non per il contenuto. Nota anche che RemoteAddress e RemoteIdentifier sono campi diversi con compiti diversi, anche quando un dispiegamento dà loro la stessa stringa.

Un valore legacy come PPTP può ancora comparire in un file vecchio senza essere una scelta che il macOS attuale offra per una nuova configurazione. Trovare un token in un profilo salvato dimostra ciò che è stato scritto, non ciò che il sistema operativo accetterà ancora.

I tipi personalizzati richiedono VPNSubType e l’app proprietaria

Quando VPNType è VPN, il payload deve portare anche VPNSubType, che identifica il plug-in o il provider Network Extension che implementa la connessione. È quell’identificatore a instradare la connessione verso un client preciso, quindi un sottotipo errato produce un profilo che si installa e poi rifiuta di avviarsi.

Nei provider basati su estensione dell’app, l’identificatore appartiene all’app contenitrice e non a un nome di estensione indovinato, ed è il dettaglio che di solito si sbaglia quando si modifica un profilo a mano. Anche un sottotipo corretto descrive il client, non il protocollo sul filo, il metodo di autenticazione o la politica di accesso remoto che quel client userà.

Quindi un payload personalizzato ti dice quale software possiede la connessione e poco altro. Per sapere cosa negozia, leggi la documentazione di quel provider e le sue impostazioni configurate. Copiare un sottotipo dal profilo di un’altra organizzazione non è una tecnica di configurazione; è un’ipotesi che per caso si analizza.

Elenca ciò che il Mac ha davvero configurato

Prima di leggere qualsiasi file, chiedi al sistema quali servizi esistono e in che stato sono. La vista da riga di comando è più rapida del cliccare nei pannelli e stampa il tipo accanto a ogni voce.

scutil --nc list
scutil --nc show "Office VPN"

Il primo comando elenca i servizi VPN configurati con il loro stato attuale, e il secondo stampa le impostazioni del servizio selezionato, compresi il tipo e l’indirizzo del server con cui contatterà. Confronta quell’indirizzo con il gateway che ti era stato detto di aspettarti, perché una voce obsoleta che punta a un host dismesso è un problema di eredità comune.

Questi comandi mostrano configurazione e stato; non provano che un tunnel trasporti traffico. Se il servizio è disconnesso, l’output descrive un’intenzione e non una sessione funzionante. Un servizio connesso senza traffico è ancora un altro problema, di solito instradamento o DNS e non il tipo di protocollo. Tieni separate queste tre osservazioni, altrimenti la diagnosi ricade nelle congetture.

Tieni le impostazioni salvate separate da una sessione attiva

Un profilo salvato è una dichiarazione di intenti. Non mostra che il gateway offra ancora quel servizio, che questo profilo sia quello attivo o che una sessione abbia negoziato con successo. Sono tre domande separate e ciascuna ha la sua prova.

Usa la vista di stato del proprietario o gli strumenti diagnostici per identificare la connessione attiva e l’identità presentata dal gateway. Una scansione delle porte o un certificato visto su un sito non correlato non risponde a nessuna delle due domande, e il nome comune di un certificato non è la stessa cosa dell’identificatore remoto atteso.

Quando il tipo salvato non corrisponde più a ciò che il gateway supporta, procurati un profilo sostitutivo dal suo proprietario. Cambiare la stringa del tipo non traduce le credenziali tra protocolli e non trasforma uno schema di autenticazione in un altro. Condividi il riepilogo anche tramite il canale di supporto approvato, poiché le configurazioni esportate possono portare credenziali e chiavi private che una richiesta di supporto non ha mai richiesto.