Кој протокол стои зад тој зачуван Mac VPN профил?

Некој нарекува Mac врска „Канцелариски VPN“, етикетата преживува две миграции на серверот и сите продолжуваат да ја нарекуваат канцелариски VPN долго откако протоколот се сменил. Името е прекар зачуван покрај конфигурацијата; тоа не е доказ за она за што Mac се договара. Читањето на објавениот тип бара едно поле, а одделувањето на тој зачуван тип од жива сесија бара уште еден чекор. Еве го редот што избегнува погодување.

Етикетата е прекар, товарот го објавува типот

macOS VPN услуга е запис во системската конфигурација со прикажано име, клиент сопственик и збир на типизирани поставки. Прикажаното име е слободен текст, може да го уредува секој што го создал записот, и токму тој дел корисниците го гледаат во лентата со мени. Поставките ги носат фактите: кој тип на врска, која порта, каква шема за автентикација. Ништо не ги држи двете усогласени, затоа профил наречен „канцеларија L2TP“ може да биде IKEv2 услуга.

За лично создадена врска тие поставки ги прикажува апликацијата сопственик или сопствениот VPN панел на системот. На управуван Mac профилот му припаѓа на администраторот, а правилниот потег е да побарате не таен резиме наместо да уредувате управуван товар. Двата случаи изгледаат слично во лентата со мени, а однесуваат сосема различно под површината. Едниот е ваш за преглед и промена; другиот е распореден и ќе биде вратен при следната проверка.

Таа разлика е важна затоа што управуваните и личните конфигурации се управуваат различно. Профил инсталиран од управувањето ќе биде заменет или повторно применет, па локалното уредување или не успева, или тивко се враќа. Побарајте од сопственикот типот, идентитетот на портата и методот на автентикација наместо обратно инженерство на датотека што не ја контролирате.

Прочитајте VPNType пред се друго во товарот

Apple-овата шема на управуван VPN товар го објавува типот на врска во клучот VPNType, внатре во речник чиј PayloadType е com.apple.vpn.managed. Вредноста е краток токен како IKEv2, IPsec, L2TP или VPN, а другото во товарот се толкува според тој токен.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Овој фрагмент е илустративен, а не инсталлив: тоа е еден запис од низа на товар, лишен од метаподатоците на профилот и од акредитивите што и вистинско распоредување ги бара. Читајте го заради формата, не заради содржината. Забележете и дека RemoteAddress и RemoteIdentifier се различни полиња со различни задачи, дури и кога распоредувањето им дава иста низа.

Наследена вредност како PPTP уште може да се појави во стара датотека без да биде избор што тековниот macOS го нуди за нова конфигурација. Наоѓањето токен во зачуван профил докажува што било напишано, а не што оперативниот систем уште ќе прифати.

Прилагодените типови бараат VPNSubType и апликацијата сопственик

Кога VPNType е VPN, товарот мора да носи и VPNSubType, кој го идентификува приклучокот или давателот на Network Extension што ја спроведува врската. Токму тој идентификатор ја насочува врската кон конкретен клиент, па погрешен подтип создава профил што се инсталира и потоа одбива да стартува.

Кај давателите засновани на проширување на апликацијата, идентификаторот и припаѓа на апликацијата што го содржи, а не на претпоставено име на проширување, и токму тој детаљ луѓето обично го грешат кога рачно уредуваат профил. Дури и точен подтип го опишува клиентот, а не жичениот протокол, методот на автентикација или политиката за далечински пристап што тој клиент ќе ја користи.

Значи, прилагоден товар ви кажува кој софтвер ја поседува врската и малку повеќе. За да дознаете за што се договара, прочитајте ја сопствената документација на тој давател и неговите конфигурирани поставки. Копирањето подтип од профилот на друга организација не е конфигурациска техника; тоа е погодување што случајно се парсира.

Наведете што Mac навистина конфигурирал

Пред да читате која било датотека, прашајте го системот кои услуги постојат и во каква состојба се. Приказот од командната линија е побрз од кликањето по панели и го печати типот до секој запис.

scutil --nc list
scutil --nc show "Office VPN"

Првата команда ги наведува конфигурираните VPN услуги со нивниот тековен статус, а втората ги печати поставките на избраната услуга, вклучувајќи го типот и адресата на серверот со кој ќе контактира. Споредете ја таа адреса со портата што ви беше кажано да ја очекувате, бидејќи застарениот запис што покажува на пензиониран домаќин е чест проблем на наследство.

Овие команди прикажуваат конфигурација и статус; тие не докажуваат дека тунел пренесува сообраќај. Ако услугата е исклучена, излезот опишува намера, а не работна сесија. Поврзана услуга без сообраќај е повторно друг проблем, обично рутирање или DNS, а не типот на протоколот. Држете ги овие три набљудувања одвоени, инаку дијагнозата повторно паѓа во погодување.

Држете ги зачуваните поставки одвоени од жива сесија

Зачуван профил е изјава за намера. Не покажува дека портата уште ја нуди таа услуга, дека овој профил е активниот или дека сесијата успешно се договарала. Тоа се три одделни прашања и секое има свој доказ.

Користете го приказот на статус на сопственикот или дијагностички алатки за да ја идентификувате активната врска и идентитетот што го претставила портата. Скенирањето порти или сертификат виден на неповрзано мрежно место не одговара на ниту едно од двете прашања, а заедничкото име на сертификат не е исто што и очекуваниот далечински идентификатор.

Кога зачуваниот тип повеќе не одговара на она што портата го поддржува, набавете заменски профил од неговиот сопственик. Менувањето на низата за типот не преведува акредитиви меѓу протоколи и не прави една шема за автентикација да стане друга. Споделете го резимето и преку одобрениот канал за поддршка, бидејќи извезените конфигурации може да носат акредитиви и приватни клучеви што барањето за поддршка никогаш не ги побарало.