Koks protokolas slypi už to išsaugoto „Mac“ VPN profilio?

Kažkas „Mac“ ryšį pavadina „Biuro VPN“, etiketė išgyvena dvi serverio migracijas, ir visi toliau jį vadina biuro VPN dar ilgai po to, kai protokolas pasikeitė. Pavadinimas yra slapyvardis, saugomas šalia konfigūracijos; tai nėra įrodymas, dėl ko „Mac“ derasi. Deklaruoto tipo perskaitymas kainuoja vieną lauką, o to saugomo tipo atskyrimas nuo gyvos sesijos – dar vieną žingsnį. Štai tvarka, kuri padeda išvengti spėliojimų.

Etiketė yra slapyvardis, tipą deklaruoja nauda

„macOS“ VPN paslauga yra sistemos konfigūracijos įrašas su rodomu pavadinimu, savininko klientu ir tipizuotų nustatymų rinkiniu. Rodomas pavadinimas yra laisvas tekstas, kurį gali redaguoti bet kas, kas sukūrė įrašą, ir būtent šią dalį naudotojai mato meniu juostoje. Nustatymai neša faktus: kokio tipo ryšys, koks tinklų sietuvas, kokia autentifikavimo schema. Niekas nelaiko šių dviejų sinchroniškai, todėl profilis, pavadintas „L2TP biuras“, gali būti IKEv2 paslauga.

Asmeniškai sukurto ryšio atveju tuos nustatymus rodo savininko programa arba pačios sistemos VPN skydelis. Valdomame „Mac“ profilis priklauso administratoriui, o teisingas žingsnis – prašyti ne slaptos santraukos, o ne redaguoti valdomą naudą. Abu atvejai meniu juostoje atrodo panašiai, o apačioje elgiasi visiškai kitaip. Vienas yra jūsų, kad apžiūrėtumėte ir pakeistumėte; kitas yra įdiegtas ir bus atkurtas per kitą patikrinimą.

Šis skirtumas svarbus, nes valdomos ir asmeninės konfigūracijos valdomos skirtingai. Valdymo įdiegtas profilis bus pakeistas arba pritaikytas iš naujo, todėl vietinis redagavimas arba nepavyksta, arba tyliai grįžta atgal. Prašykite savininko tipo, tinklų sietuvo tapatybės ir autentifikavimo metodo, o ne atvirkštinės inžinerijos failo, kurio nekontroliuojate.

Perskaitykite VPNType prieš visa kita naudoje

„Apple“ valdomos VPN naudos schema ryšio tipą deklaruoja rakte VPNType, žodyne, kurio PayloadType yra com.apple.vpn.managed. Reikšmė yra trumpas žymuo, pavyzdžiui, IKEv2, IPsec, L2TP arba VPN, o visa kita naudoje aiškinama pagal tą žymenį.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Šis fragmentas yra iliustracinis, o ne įdiegiamas: tai vienas naudos masyvo įrašas, nurengtas nuo profilio metaduomenų ir kredencialų, kurių reikia realiam diegimui. Skaitykite jį dėl formos, o ne dėl turinio. Atkreipkite dėmesį, kad RemoteAddress ir RemoteIdentifier yra skirtingi laukai su skirtingomis užduotimis, net kai diegimas jiems duoda tą pačią eilutę.

Sena vertė, pavyzdžiui, PPTP, gali vis dar pasirodyti sename faile, nors dabartinė „macOS“ nesiūlo jos kaip naujos konfigūracijos pasirinkimo. Žymens radimas išsaugotame profilyje įrodo, kas buvo įrašyta, o ne ką operacinė sistema dar priims.

Pasirinktiniams tipams reikia VPNSubType ir savininko programos

Kai VPNType yra VPN, nauda taip pat turi turėti VPNSubType, kuris nurodo papildinį arba „Network Extension“ teikėją, įgyvendinantį ryšį. Būtent šis identifikatorius nukreipia ryšį į konkretų klientą, todėl neteisingas potipis sukuria profilį, kuris įdiegiamas ir tada atsisako paleistis.

Paslaugų teikėjams, pagrįstiems programos plėtiniu, identifikatorius priklauso jį talpinančiai programai, o ne spėjamam plėtinio pavadinimui, ir tai yra detalė, kurią žmonės paprastai supainioja redaguodami profilį ranka. Net teisingas potipis aprašo klientą, o ne laidų protokolą, autentifikavimo metodą ar nuotolinės prieigos politiką, kurią naudos tas klientas.

Taigi pasirinktinė nauda pasako, kokia programinė įranga valdo ryšį, ir nedaug kito. Kad sužinotumėte, dėl ko ji derasi, skaitykite to teikėjo dokumentaciją ir jo sukonfigūruotus nustatymus. Potipio kopijavimas iš kitos organizacijos profilio nėra konfigūravimo technika; tai spėjimas, kuris netyčia išanalizuojamas.

Išvardykite, ką „Mac“ iš tikrųjų sukonfigūravo

Prieš skaitydami bet kokį failą, paklauskite sistemos, kokios paslaugos egzistuoja ir kokios jų būsenos. Komandinės eilutės rodinys greitesnis už spaudymą skydeliuose ir išspausdina tipą prie kiekvieno įrašo.

scutil --nc list
scutil --nc show "Office VPN"

Pirmoji komanda išvardija sukonfigūruotas VPN paslaugas su jų dabartine būsena, o antroji išspausdina pasirinktos paslaugos nustatymus, įskaitant tipą ir serverio adresą, su kuriuo ji susisieks. Palyginkite tą adresą su tinklų sietuvu, kurio buvo nurodyta lauktis, nes pasenęs įrašas, nukreiptas į išjungtą serverį, yra dažna paveldėjimo problema.

Šios komandos rodo konfigūraciją ir būseną; jos neįrodo, kad tunelis perduoda srautą. Jei paslauga atjungta, išvestis aprašo ketinimą, o ne veikiančią sesiją. Prijungta paslauga be srauto yra dar kita problema, paprastai maršrutizavimas arba DNS, o ne protokolo tipas. Laikykite šiuos tris pastebėjimus atskirai, kitaip diagnostika vėl grįš prie spėliojimų.

Laikykite išsaugotus nustatymus atskirai nuo gyvos sesijos

Išsaugotas profilis yra ketinimo deklaracija. Jis nerodo, kad tinklų sietuvas vis dar siūlo tą paslaugą, kad šis profilis yra aktyvus arba kad sesija sėkmingai susiderėjo. Tai trys atskiri klausimai, ir kiekvienas turi savo įrodymus.

Naudokite savininko būsenos rodinį arba diagnostikos įrankius aktyviam ryšiui ir tinklų sietuvo pateiktai tapatybei nustatyti. Portų skenavimas arba sertifikatas, matytas nesusijusioje svetainėje, neatsako nė į vieną klausimą, o sertifikato bendrasis pavadinimas nėra tas pats, kas laukiamas nuotolinis identifikatorius.

Kai išsaugotas tipas nebeatitinka to, ką palaiko tinklų sietuvas, gaukite pakaitinį profilį iš jo savininko. Tipo eilutės pakeitimas neverčia kredencialų tarp protokolų ir nepaverčia vienos autentifikavimo schemos kita. Pasidalykite santrauka ir patvirtintu palaikymo kanalu, nes eksportuotos konfigūracijos gali turėti kredencialų ir privačių raktų, kurių palaikymo užklausai niekada neprireikė.