Kāds protokols slēpjas aiz saglabātā Mac VPN profila?

Kāds Mac savienojumu nosauc par „Biroja VPN“, etiķete pārdzīvo divas servera migrācijas, un visi to joprojām sauc par biroja VPN ilgi pēc tam, kad protokols ir mainījies. Nosaukums ir blakus konfigurācijai saglabāts segvārds; tas nav pierādījums tam, par ko Mac vienojas. Deklarētā tipa nolasīšana prasa vienu lauku, un šī saglabātā tipa atdalīšana no dzīvas sesijas prasa vēl vienu soli. Lūk, secība, kas izvairās no minējumiem.

Etiķete ir segvārds, tips ir deklarēts kravā

macOS VPN pakalpojums ir sistēmas konfigurācijas ieraksts ar parādāmo nosaukumu, īpašnieku klientu un tipizētu iestatījumu kopu. Parādāmais nosaukums ir brīvs teksts, ko var rediģēt ikviens, kas izveidoja ierakstu, un tieši šo daļu lietotāji redz izvēlnē. Iestatījumi nes faktus: kāds savienojuma tips, kura vārteja, kāda autentifikācijas shēma. Nekas netur abus saskaņotus, tāpēc profils ar nosaukumu „L2TP birojs“ var būt IKEv2 pakalpojums.

Personīgi izveidotam savienojumam šos iestatījumus rāda īpašnieka lietojumprogramma vai sistēmas pašas VPN panelis. Pārvaldītā Mac profilā pieder administratoram, un pareizais solis ir pieprasīt ne slepenu kopsavilkumu, nevis rediģēt pārvaldītu kravu. Abi gadījumi izvēlnē izskatās līdzīgi un apakšā uzvedas pilnīgi citādi. Viens ir jūsu, lai to pārbaudītu un mainītu; otrs ir izvietots un tiks atjaunots nākamajā pārbaudē.

Šī atšķirība ir svarīga, jo pārvaldītās un personīgās konfigurācijas tiek pārvaldītas atšķirīgi. Pārvaldības instalētais profils tiks aizstāts vai atkārtoti piemērots, tāpēc lokāls labojums vai nu neizdodas, vai klusi atgriežas. Lūdziet īpašniekam tipu, vārtejas identitāti un autentifikācijas metodi, nevis veiciet reverso inženieriju failam, ko nekontrolējat.

Lasiet VPNType pirms visa cita kravā

Apple pārvaldītās VPN kravas shēma deklarē savienojuma tipu atslēgā VPNType, vārdnīcā, kuras PayloadType ir com.apple.vpn.managed. Vērtība ir īss marķieris, piemēram, IKEv2, IPsec, L2TP vai VPN, un viss pārējais kravā tiek interpretēts saskaņā ar šo marķieri.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Šis fragments ir ilustratīvs, nevis instalējams: tas ir viens kravas masīva ieraksts, atbrīvots no profila metadatiem un akreditācijas datiem, kas nepieciešami reālai izvietošanai. Lasiet to formas, nevis satura dēļ. Ņemiet vērā arī to, ka RemoteAddress un RemoteIdentifier ir dažādi lauki ar dažādiem uzdevumiem, pat ja izvietošana tiem dod vienu un to pašu virkni.

Vecā vērtība, piemēram, PPTP, joprojām var parādīties vecā failā, lai gan tā nav izvēle, ko pašreizējā macOS piedāvā jaunai konfigurācijai. Marķiera atrašana saglabātā profilā pierāda, kas tika rakstīts, nevis to, ko operētājsistēma vēl pieņems.

Pielāgotiem tipiem nepieciešams VPNSubType un īpašnieka lietotne

Kad VPNType ir VPN, kravā jābūt arī VPNSubType, kas identificē spraudni vai Network Extension nodrošinātāju, kurš īsteno savienojumu. Tieši šis identifikators novirza savienojumu uz konkrētu klientu, tāpēc nepareizs apakštips rada profilu, kas instalējas un pēc tam atsakās startēt.

Nodrošinātājiem, kuru pamatā ir lietotnes paplašinājums, identifikators pieder ietverošajai lietotnei, nevis minētam paplašinājuma nosaukumam, un tieši šo detaļu cilvēki parasti saprot nepareizi, rediģējot profilu ar rokām. Pat pareizs apakštips raksturo klientu, nevis pārraides protokolu, autentifikācijas metodi vai tālas piekļuves politiku, ko šis klients izmantos.

Tātad pielāgota krava pasaka, kurai programmatūrai pieder savienojums, un nedaudz ko citu. Lai uzzinātu, par ko tā vienojas, lasiet šī nodrošinātāja paša dokumentāciju un tā konfigurētos iestatījumus. Apakštipa kopēšana no citas organizācijas profila nav konfigurācijas tehnika; tas ir minējums, kas nejauši parsējas.

Uzskaitiet, ko Mac patiešām konfigurēja

Pirms lasīt jebkuru failu, pajautājiet sistēmai, kādi pakalpojumi pastāv un kādā stāvoklī tie ir. Komandrindas skats ir ātrāks par klikšķiem panelēs, un tas izdrukā tipu blakus katram ierakstam.

scutil --nc list
scutil --nc show "Office VPN"

Pirmā komanda uzskaita konfigurētos VPN pakalpojumus ar to pašreizējo statusu, bet otrā izdrukā izvēlētā pakalpojuma iestatījumus, tostarp tipu un servera adresi, ar kuru tas sazināsies. Salīdziniet šo adresi ar vārteju, kuru jums teica gaidīt, jo novecojis ieraksts, kas norāda uz izbeigtu resursdatoru, ir izplatīta mantojuma problēma.

Šīs komandas rāda konfigurāciju un statusu; tās nepierāda, ka tunelis pārvadā datplūsmu. Ja pakalpojums ir atvienots, izvade apraksta nodomu, nevis strādājošu sesiju. Savienots pakalpojums bez datplūsmas atkal ir cita problēma, parasti maršrutēšana vai DNS, nevis protokola tips. Turiet šos trīs novērojumus atsevišķi, citādi diagnostika atgriežas pie minējumiem.

Turiet saglabātos iestatījumus atsevišķi no dzīvas sesijas

Saglabāts profils ir nodoma deklarācija. Tas nerāda, ka vārteja joprojām piedāvā šo pakalpojumu, ka šis profils ir aktīvais vai ka sesija ir veiksmīgi vienojusies. Tie ir trīs atsevišķi jautājumi, un katram ir savi pierādījumi.

Izmantojiet īpašnieka statusa skatu vai diagnostikas rīkus, lai identificētu aktīvo savienojumu un identitāti, ko uzrādīja vārteja. Portu skenēšana vai sertifikāts, kas redzēts nesaistītā vietnē, neatbild ne uz vienu no jautājumiem, un sertifikāta parastais nosaukums nav tas pats, kas gaidītais attālais identifikators.

Kad saglabātais tips vairs neatbilst tam, ko atbalsta vārteja, iegūstiet aizvietotāja profilu no tā īpašnieka. Tipa virknes maiņa netulko akreditācijas datus starp protokoliem un nepārvērš vienu autentifikācijas shēmu citā. Kopīgojiet kopsavilkumu arī apstiprinātajā atbalsta kanālā, jo eksportētās konfigurācijas var saturēt akreditācijas datus un privātās atslēgas, kas atbalsta pieprasījumam nekad nebija vajadzīgas.