Kva protokoll ligg bak den lagra Mac VPN-profilen?

Nokon kallar ei Mac-tilkopling «Kontor-VPN», namnet overlever to servermigreringar, og alle held fram med å kalle ho kontor-VPN lenge etter at protokollen er endra. Namnet er eit kallenamn som er lagra ved sida av konfigurasjonen; det er ikkje prov for kva Macen forhandlar om. Å lese den erklærte typen krev eitt felt, og å skilje den lagra typen frå ein levande sesjon krev eitt steg til. Her er rekkjefølgja som unngår gissing.

Namnet er eit kallenamn, nyttelasta erklærer typen

Ei macOS VPN-teneste er ein systemkonfigurasjonspost med eit vist namn, ein eigarklient og eit sett typa innstillingar. Det viste namnet er fri tekst, redigerbar av den som oppretta posten, og det er den delen brukarane ser i menylinja. Innstillingane ber fakta: kva tilkoplingstype, kva gateway, kva autentiseringsordning. Ingenting held dei to i takt, og difor kan ein profil kalla «L2TP-kontor» vere ei IKEv2-teneste.

For ei personleg oppretta tilkopling viser eigarprogrammet eller systemets eige VPN-panel desse innstillingane. På ein administrert Mac høyrer profilen til administratoren, og det rette trekket er å be om eit ikkje-hemmeleg samandrag i staden for å redigere ei administrert nyttelast. Dei to tilfella ser like ut i menylinja og oppfører seg heilt ulikt under overflata. Den eine er din å undersøkje og endre; den andre er utrulla og vil bli gjenoppretta ved neste sjekk.

Den skilnaden betyr noko fordi administrerte og personlege konfigurasjonar blir styrte ulikt. Ein profil som er installert av styringa, blir erstatta eller brukt på nytt, så ei lokal endring antingen feilar eller rullar stille tilbake. Spør eigaren om typen, identiteten til gatewayen og autentiseringsmetoden i staden for å reverse-engineering-e ei fil du ikkje kontrollerer.

Les VPNType før alt anna i nyttelasta

Apples skjema for administrert VPN-nyttelast erklærer tilkoplingstypen i nøkkelen VPNType, inne i ei ordbok der PayloadType er com.apple.vpn.managed. Verdien er eit kort token som IKEv2, IPsec, L2TP eller VPN, og alt anna i nyttelasta blir tolka etter det tokenet.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Dette fragmentet er illustrativt og ikkje installerbart: det er ein post i ein nyttelastmatrise, strippa for profildataa og legitimasjonen ei reell utrulling treng. Les det for forma, ikkje for innhaldet. Legg òg merke til at RemoteAddress og RemoteIdentifier er ulike felt med ulike oppgåver, sjølv når ei utrulling gir dei same strengen.

Ein eldre verdi som PPTP kan framleis førekome i ei gammal fil utan å vere eit val dagens macOS tilbyr for ein ny konfigurasjon. Å finne eit token i ein lagra profil provar kva som vart skrive, ikkje kva operativsystemet framleis godtar.

Eigendefinerte typar treng VPNSubType og eigarprogrammet

Når VPNType er VPN, må nyttelasta òg innehalde VPNSubType, som identifiserer programtillegget eller Network Extension-leverandøren som implementerer tilkoplinga. Det er denne identifikatoren som ruter tilkoplinga til ein bestemt klient, så ein feil undertype gir ein profil som blir installert og deretter nektar å starte.

For leverandørar baserte på apputviding høyrer identifikatoren til appen som omsluttar han, og ikkje til eit gissa utvidingsnamn, og det er detaljen folk vanlegvis gjer feil når dei redigerer ein profil for hand. Sjølv ein korrekt undertype skildrar klienten, ikkje wire-protokollen, autentiseringsmetoden eller policyen for ekstern tilgang som klienten vil bruke.

Så ei eigendefinert nyttelast fortel kva programvare som eig tilkoplinga, og lite anna. For å lære kva ho forhandlar om, les leverandørens eigen dokumentasjon og dei konfigurerte innstillingane. Å kopiere ein undertype frå profilen til ein annan organisasjon er ikkje ein konfigurasjonsteknikk; det er ei gissing som tilfeldigvis kan parsast.

List opp kva Macen faktisk har konfigurert

Før du les noka fil, spør systemet kva tenester som finst og kva tilstand dei er i. Kommandolinjevisninga er raskare enn å klikke gjennom panel, og ho skriv ut typen ved kvar post.

scutil --nc list
scutil --nc show "Office VPN"

Den første kommandoen viser konfigurerte VPN-tenester med gjeldande status, og den andre skriv ut innstillingane til den valde tenesta, inkludert typen og serveradressa ho vil kontakte. Samanlikn den adressa med gatewayen du fekk beskjed om å vente, fordi ein utdatert post som peiker på ein pensjonert vert, er eit vanleg arveproblem.

Desse kommandoane viser konfigurasjon og status; dei provar ikkje at ein tunnel ber trafikk. Viss tenesta er fråkopla, skildrar utdata ein intensjon og ikkje ein fungerande sesjon. Ei tilkopla teneste utan trafikk er igjen eit anna problem, vanlegvis ruting eller DNS og ikkje protokolltypen. Hald dei tre observasjonane skilde, elles fell diagnosen tilbake til gissing.

Hald lagra innstillingar skilde frå ein levande sesjon

Ein lagra profil er ein intensjonserklæring. Han viser ikkje at gatewayen framleis tilbyr den tenesta, at denne profilen er den aktive, eller at ein sesjon vart forhandla fram med suksess. Det er tre separate spørsmål, og kvart har sitt eige prov.

Bruk statusvisninga til eigaren eller diagnostiske verktøy for å identifisere den aktive tilkoplinga og identiteten gatewayen presenterte. Ein portskann eller eit sertifikat sett på ein urelatert nettstad svarar ingen av dei to spørsmåla, og eit sertifikats common name er ikkje det same som den forventa eksterne identifikatoren.

Når den lagra typen ikkje lenger passar til det gatewayen støttar, skaff ein erstatningsprofil frå eigaren. Å endre typestrengen omset ikkje legitimasjon mellom protokollar, og det gjer ikkje éi autentiseringsordning til ei anna. Del samandraget òg gjennom den godkjente støttekanalen, sidan eksporterte konfigurasjonar kan bere legitimasjon og private nøklar som ein støtteførespurnad aldri trong.