Protokol apakah yang berada di sebalik profil VPN Mac tersimpan itu?

Seseorang menamakan sambungan Mac „VPN Pejabat“, label itu bertahan melalui dua migrasi pelayan, dan semua orang terus memanggilnya VPN pejabat lama selepas protokolnya berubah. Nama itu ialah gelaran yang disimpan di sebelah konfigurasi; ia bukan bukti tentang apa yang dirundingkan oleh Mac. Membaca jenis yang diisytiharkan mengambil satu medan, dan memisahkan jenis tersimpan itu daripada sesi hidup mengambil satu langkah lagi. Berikut ialah urutan yang mengelakkan tekaan.

Label ialah gelaran, muatan mengisytiharkan jenisnya

Perkhidmatan VPN macOS ialah entri konfigurasi sistem dengan nama paparan, klien pemilik dan satu set tetapan bertaip. Nama paparan ialah teks bebas, boleh disunting oleh sesiapa yang mencipta entri itu, dan itulah bahagian yang dilihat pengguna dalam bar menu. Tetapan membawa faktanya: jenis sambungan apa, get laluan mana, susunan pengesahan apa. Tiada apa yang menyelaraskan kedua-duanya, sebab itu profil bernama „pejabat L2TP“ boleh menjadi perkhidmatan IKEv2.

Untuk sambungan yang dicipta sendiri, aplikasi pemilik atau panel VPN sistem itu sendiri menunjukkan tetapan tersebut. Pada Mac terurus, profil itu milik pentadbir, dan langkah yang betul ialah meminta ringkasan bukan rahsia daripada menyunting muatan terurus. Kedua-dua kes kelihatan serupa dalam bar menu dan berkelakuan berbeza sama sekali di bawahnya. Satu milik anda untuk diperiksa dan diubah; satu lagi telah digunakan dan akan dipulihkan pada semakan seterusnya.

Perbezaan itu penting kerana konfigurasi terurus dan peribadi ditadbir secara berbeza. Profil yang dipasang oleh pengurusan akan diganti atau digunakan semula, jadi suntingan setempat sama ada gagal atau berundur secara senyap. Mintalah jenis, identiti get laluan dan kaedah pengesahan daripada pemiliknya dan bukannya melakukan kejuruteraan songsang pada fail yang anda tidak kawal.

Baca VPNType sebelum apa-apa lagi dalam muatan

Skema muatan VPN terurus Apple mengisytiharkan jenis sambungannya dalam kunci VPNType, di dalam kamus yang PayloadType-nya ialah com.apple.vpn.managed. Nilainya ialah token pendek seperti IKEv2, IPsec, L2TP atau VPN, dan segala-galanya dalam muatan ditafsirkan menurut token itu.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Serpihan ini bersifat ilustrasi dan bukan boleh dipasang: ia satu entri daripada tatasusunan muatan, dilucutkan metadata profil dan kelayakan yang diperlukan oleh penggunaan sebenar. Bacalah untuk bentuknya, bukan isinya. Perhatikan juga bahawa RemoteAddress dan RemoteIdentifier ialah medan berbeza dengan tugas berbeza, walaupun penggunaan memberi kedua-duanya rentetan yang sama.

Nilai legasi seperti PPTP mungkin masih muncul dalam fail lama tanpa menjadi pilihan yang ditawarkan macOS semasa untuk konfigurasi baharu. Menemui token dalam profil tersimpan membuktikan apa yang ditulis, bukan apa yang masih akan diterima oleh sistem pengendalian.

Jenis tersuai memerlukan VPNSubType dan aplikasi pemilik

Apabila VPNType ialah VPN, muatan juga mesti membawa VPNSubType, yang mengenal pasti pemalam atau penyedia Network Extension yang melaksanakan sambungan. Pengenal itulah yang menghalakan sambungan kepada klien tertentu, jadi subjenis yang salah menghasilkan profil yang dipasang dan kemudian enggan dimulakan.

Bagi penyedia berasaskan sambungan aplikasi, pengenal itu milik aplikasi yang mengandunginya dan bukan nama sambungan yang diteka, dan itulah perincian yang biasanya disalah fahami orang apabila menyunting profil secara manual. Subjenis yang betul pun menerangkan klien, bukan protokol wayar, kaedah pengesahan atau dasar akses jauh yang akan digunakan oleh klien itu.

Jadi muatan tersuai memberitahu anda perisian mana yang memiliki sambungan itu dan sedikit sahaja lagi. Untuk mengetahui apa yang dirundingkannya, bacalah dokumentasi penyedia itu sendiri dan parameternya yang dikonfigurasi. Menyalin subjenis daripada profil organisasi lain bukan teknik konfigurasi; ia tekaan yang kebetulan boleh dihuraikan.

Senaraikan apa yang sebenarnya dikonfigurasi oleh Mac

Sebelum membaca mana-mana fail, tanyakan kepada sistem perkhidmatan apa yang wujud dan dalam keadaan apa. Paparan baris arahan lebih pantas daripada mengklik panel dan ia mencetak jenis di sebelah setiap entri.

scutil --nc list
scutil --nc show "Office VPN"

Arahan pertama menyenaraikan perkhidmatan VPN yang dikonfigurasi dengan status semasanya, dan yang kedua mencetak tetapan perkhidmatan yang dipilih, termasuk jenis dan alamat pelayan yang akan dihubunginya. Bandingkan alamat itu dengan get laluan yang anda diberitahu untuk jangkakan, kerana entri lapuk yang menunjuk kepada hos yang telah bersara ialah masalah warisan yang lazim.

Arahan ini menunjukkan konfigurasi dan status; ia tidak membuktikan bahawa terowong membawa trafik. Jika perkhidmatan terputus, output menerangkan niat dan bukan sesi yang berfungsi. Perkhidmatan bersambung tanpa trafik ialah masalah lain lagi, biasanya penghalaan atau DNS dan bukan jenis protokol. Asingkan ketiga-tiga pemerhatian itu atau diagnosis akan kembali kepada tekaan.

Asingkan tetapan tersimpan daripada sesi hidup

Profil tersimpan ialah pernyataan niat. Ia tidak menunjukkan bahawa get laluan masih menawarkan perkhidmatan itu, bahawa profil ini yang aktif, atau bahawa sesi telah dirundingkan dengan jayanya. Itu tiga soalan berasingan dan setiap satu ada buktinya sendiri.

Gunakan paparan status pemilik atau alat diagnostik untuk mengenal pasti sambungan aktif dan identiti yang dikemukakan oleh get laluan. Imbasan port atau sijil yang dilihat di tapak tidak berkaitan tidak menjawab mana-mana daripada dua soalan itu, dan nama umum sijil bukanlah pengenal jauh yang dijangka.

Apabila jenis tersimpan tidak lagi sepadan dengan apa yang disokong oleh get laluan, dapatkan profil pengganti daripada pemiliknya. Menukar rentetan jenis tidak menterjemah kelayakan antara protokol dan ia tidak menjadikan satu susunan pengesahan sebagai yang lain. Kongsikan ringkasan itu melalui saluran sokongan yang diluluskan juga, kerana konfigurasi yang dieksport boleh membawa kelayakan dan kunci peribadi yang tidak pernah diperlukan oleh permintaan sokongan.