SonicWall VPN na Macu: klient SSL czy natywny L2TP?

Zacznij od Maca, a potem idź na zewnątrz, bo decyzję o kliencie podejmuje zapora i tylko odbija się ona na pulpicie. Otwórz Ustawienia systemowe, sprawdź, jaka konfiguracja VPN już istnieje, i zadaj administratorowi jedno pytanie, zanim wpiszesz hasło. Odpowiedzią jest włączona usługa dostępu zdalnego, a nie model urządzenia na stronie logowania. Dwa klienty mogą siedzieć na jednym laptopie i żaden z nich nie być właściwy.

Zapytaj bramę, która usługa jest włączona

Dwie usługi dostępu zdalnego występują pod tą samą nazwą produktu i zachowują się zupełnie różnie. Jedna to SSL VPN, do której dociera się klientem dostawcy, druga to IPsec lub L2TP, które potrafi wybrać wbudowany klient macOS. Różnią się portami, uwierzytelnianiem i przydzielaniem adresów, więc profil jednej jest bezużyteczny wobec drugiej. Wybór wyłącznie ze strony Maca to zgadywanie przebrane za konfigurację.

Poproś o trzy rzeczy naraz: usługę, która jest licencjonowana i włączona, klienta i wersję, które ta usługa obsługuje w macOS, oraz przepływ uwierzytelniania, którego oczekuje. Cokolwiek mniej zostawia cię ze zgadywaniem przy następnej awarii.

Przejdź ścieżkę natywnego L2TP

Natywne połączenie istnieje na Macu zawsze wtedy, gdy dodano profil, a panel ustawień pokazuje je obok Wi-Fi i Ethernetu. Jeśli lista jest pusta, maszyna nie ma żadnej konfiguracji VPN, a problem leży w przygotowaniu, nie w łączności. Polecenie poniżej wypisuje to, co system naprawdę trzyma, łącznie z konfiguracjami, które interfejs może ukrywać.

Przeczytaj wynik, zanim cokolwiek dodasz, bo nieaktualny profil o znajomej nazwie to częsty powód, dla którego nowa konfiguracja wydaje się ignorowana. Następnie porównaj adres serwera z adresem podanym przez administratora, a nie z tym ze starego zgłoszenia. Oba sprawdzenia zajmują minutę i usuwają dwa typowe ślepe zaułki.

scutil --nc list
networksetup -listallnetworkservices

Natywny wpis L2TP potrzebuje też wspólnego sekretu, nazwy użytkownika i hasła oraz bramy, która oferuje tę usługę na oczekiwanych portach. Gdy któregoś brakuje, Mac zgłasza błąd uwierzytelniania albo błąd, że serwer nie odpowiada, i żaden z komunikatów nie odróżnia złego sekretu od usługi, która nigdy nie została włączona. Trzymaj wszystkie trzy wartości razem, gdy porównujesz notatki z administratorem.

Przejdź ścieżkę klienta SSL

Klient SSL VPN łączy się przez TLS z portalem, a następnie uruchamia własny tunel i własną politykę adresów. Potrzebuje adresu portalu, konta i drugiego czynnika wymuszanego przez wdrożenie, a przy pierwszym uruchomieniu zwykle instaluje rozszerzenie sieciowe. Profil wyeksportowany dla jednego klienta rzadko importuje się do innego, nawet gdy oba mówią pod spodem IPsec. Nic z tego nie pojawia się na liście VPN w Ustawieniach systemowych, dopóki rozszerzenie nie zostanie zatwierdzone.

Dwa klienty SSL zainstalowane obok siebie mogą konkurować o to samo rozszerzenie sieciowe, a ten załadowany pierwszy zwykle wygrywa. Usuń nieużywany klient przed instalacją zatwierdzonego, a potem uruchom ponownie, aby lista rozszerzeń została zbudowana od nowa.

Porównaj wersję macOS z aktualnym oświadczeniem dostawcy o wsparciu przed instalacją i spodziewaj się, że instalator poprosi o zgodę w Prywatność i bezpieczeństwo. Zablokowane rozszerzenie wygląda dokładnie jak połączenie, które nigdy się nie zaczyna.

Przeczytaj poprawnie komunikat o zmianie marki

Nazwy klientów się zmieniają, a zmiana nazwy nie jest zmianą protokołu. Komunikat dostawcy, że Mobile Connect staje się NetExtender, opisuje branding, więc starego stwierdzenia o wsparciu platform desktopowych nie można przenieść na każdą aplikację z nową nazwą.

Zidentyfikuj klienta, którego naprawdę zainstalowałeś, po identyfikatorze pakietu i wersji, a nie po etykiecie na ikonie. Ta różnica decyduje, która matryca wsparcia dotyczy twojego Maca.

Jeśli włączona usługa i obsługiwany klient Maca nie pokrywają się, uczciwe opcje to zatwierdzona usługa alternatywna albo zaplanowana zmiana bramy. Przepisywanie wspólnej polityki, by zadowolić jeden laptop, albo kupno aplikacji, bo odpowiedź na forum ją wymieniła, zostawia pytanie o zgodność dokładnie tam, gdzie się zaczęło.