Który protokół kryje się za zapisanym profilem VPN na Macu?

Ktoś nazywa połączenie na Macu „VPN biurowy”, etykieta przetrwa dwie migracje serwera, a wszyscy nadal nazywają je biurowym VPN długo po zmianie protokołu. Nazwa to pseudonim zapisany obok konfiguracji; nie jest dowodem na to, o czym Mac się porozumiewa. Odczytanie zadeklarowanego typu zajmuje jedno pole, a oddzielenie tego zapisanego typu od żywej sesji wymaga jeszcze jednego kroku. Oto kolejność, która pozwala uniknąć zgadywania.

Etykieta to pseudonim, typ deklaruje ładunek

Usługa VPN w macOS to wpis konfiguracji systemu z nazwą wyświetlaną, klientem właścicielskim i zestawem typowanych ustawień. Nazwa wyświetlana to dowolny tekst, edytowalny przez każdego, kto utworzył wpis, i to jej część użytkownicy widzą na pasku menu. Ustawienia niosą fakty: jaki typ połączenia, która brama, jaki układ uwierzytelniania. Nic nie utrzymuje obu w zgodzie, dlatego profil o nazwie „biuro L2TP” może być usługą IKEv2.

W przypadku połączenia utworzonego osobiście te ustawienia pokazuje aplikacja właścicielska albo własny panel VPN systemu. Na zarządzanym Macu profil należy do administratora, a właściwym krokiem jest poprosić o nie-tajne podsumowanie zamiast edytować zarządzany ładunek. Oba przypadki wyglądają tak samo na pasku menu, a pod spodem zachowują się zupełnie inaczej. Jeden jest twój do sprawdzenia i zmiany; drugi jest wdrożony i zostanie przywrócony przy następnej kontroli.

To rozróżnienie ma znaczenie, bo konfiguracje zarządzane i osobiste są zarządzane inaczej. Profil zainstalowany przez zarządzanie zostanie zastąpiony lub zastosowany ponownie, więc lokalna zmiana albo się nie udaje, albo po cichu wraca. Poproś właściciela o typ, tożsamość bramy i metodę uwierzytelniania zamiast dokonywać inżynierii wstecznej pliku, którego nie kontrolujesz.

Przeczytaj VPNType przed wszystkim innym w ładunku

Schemat zarządzanego ładunku VPN firmy Apple deklaruje typ połączenia w kluczu VPNType, wewnątrz słownika, którego PayloadType to com.apple.vpn.managed. Wartością jest krótki token, na przykład IKEv2, IPsec, L2TP lub VPN, a wszystko inne w ładunku interpretuje się zgodnie z tym tokenem.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Ten fragment jest ilustracyjny, a nie instalowalny: to jeden wpis tablicy ładunku, pozbawiony metadanych profilu i poświadczeń, których wymaga prawdziwe wdrożenie. Czytaj go dla kształtu, nie dla treści. Zwróć też uwagę, że RemoteAddress i RemoteIdentifier to różne pola o różnych zadaniach, nawet gdy wdrożenie daje im ten sam ciąg.

Starsza wartość, taka jak PPTP, może wciąż występować w starym pliku, nie będąc wyborem, który obecny macOS oferuje dla nowej konfiguracji. Znalezienie tokenu w zapisanym profilu dowodzi, co zapisano, a nie tego, co system operacyjny jeszcze przyjmie.

Typy niestandardowe wymagają VPNSubType i aplikacji właścicielskiej

Gdy VPNType to VPN, ładunek musi też zawierać VPNSubType, który identyfikuje wtyczkę lub dostawcę Network Extension realizującego połączenie. To ten identyfikator kieruje połączenie do konkretnego klienta, więc błędny podtyp daje profil, który instaluje się, a potem odmawia uruchomienia.

U dostawców opartych na rozszerzeniu aplikacji identyfikator należy do aplikacji zawierającej, a nie do zgadywanej nazwy rozszerzenia, i to jest szczegół, który ludzie zwykle mylą przy ręcznej edycji profilu. Nawet poprawny podtyp opisuje klienta, a nie protokół przewodowy, metodę uwierzytelniania czy politykę dostępu zdalnego, której ten klient użyje.

Zatem niestandardowy ładunek mówi, które oprogramowanie posiada połączenie, i niewiele więcej. Aby poznać, o czym się porozumiewa, przeczytaj dokumentację tego dostawcy i jego skonfigurowane ustawienia. Kopiowanie podtypu z profilu innej organizacji nie jest techniką konfiguracji; to zgadywanka, która przypadkiem się parsuje.

Wypisz, co Mac rzeczywiście skonfigurował

Zanim przeczytasz jakikolwiek plik, zapytaj system, jakie usługi istnieją i w jakim są stanie. Widok z wiersza poleceń jest szybszy niż klikanie po panelach i wypisuje typ obok każdego wpisu.

scutil --nc list
scutil --nc show "Office VPN"

Pierwsze polecenie wylicza skonfigurowane usługi VPN wraz z ich bieżącym stanem, a drugie wypisuje ustawienia wybranej usługi, w tym typ i adres serwera, z którym się połączy. Porównaj ten adres z bramą, której się spodziewano, bo nieaktualny wpis wskazujący na wycofany host to częsty problem dziedziczony.

Te polecenia pokazują konfigurację i stan; nie dowodzą, że tunel przenosi ruch. Jeśli usługa jest rozłączona, dane wyjściowe opisują zamiar, a nie działającą sesję. Podłączona usługa bez ruchu to znowu inny problem, zwykle routing lub DNS, a nie typ protokołu. Trzymaj te trzy obserwacje osobno, inaczej diagnoza wraca do zgadywania.

Trzymaj zapisane ustawienia osobno od żywej sesji

Zapisany profil to deklaracja zamiaru. Nie pokazuje, że brama nadal oferuje tę usługę, że ten profil jest aktywny albo że sesja została pomyślnie wynegocjowana. To trzy osobne pytania i każde ma własny dowód.

Użyj widoku stanu właściciela lub narzędzi diagnostycznych, aby zidentyfikować aktywne połączenie i tożsamość przedstawioną przez bramę. Skanowanie portów albo certyfikat widziany na niepowiązanej stronie nie odpowiada na żadne z tych pytań, a nazwa pospolita certyfikatu nie jest tym samym co oczekiwany identyfikator zdalny.

Gdy zapisany typ nie pasuje już do tego, co obsługuje brama, zdobądź profil zastępczy od jego właściciela. Zmiana ciągu typu nie tłumaczy poświadczeń między protokołami i nie czyni jednego układu uwierzytelniania innym. Udostępnij podsumowanie także zatwierdzonym kanałem wsparcia, ponieważ wyeksportowane konfiguracje mogą zawierać poświadczenia i klucze prywatne, których prośba o wsparcie nigdy nie potrzebowała.