Qual protocolo está por trás daquele perfil de VPN do Mac salvo?

Alguém chama uma conexão do Mac de „VPN do escritório“, o rótulo sobrevive a duas migrações do servidor, e todos continuam a chamá-la de VPN do escritório muito depois de o protocolo mudar. O nome é um apelido guardado ao lado da configuração; não é prova do que o Mac negoceia. Ler o tipo declarado custa um campo, e separar esse tipo guardado de uma sessão ativa custa mais um passo. Aqui está a ordem que evita adivinhar.

O rótulo é um apelido, a carga útil declara o tipo

Um serviço de VPN do macOS é uma entrada de configuração do sistema com um nome visível, um cliente proprietário e um conjunto de definições tipadas. O nome visível é texto livre, editável por quem criou a entrada, e é a parte que os utilizadores veem na barra de menus. As definições transportam os factos: que tipo de ligação, que gateway, que esquema de autenticação. Nada mantém os dois sincronizados, e é por isso que um perfil chamado „escritório L2TP“ pode ser um serviço IKEv2.

Numa ligação criada pessoalmente, a aplicação proprietária ou o próprio painel de VPN do sistema mostram essas definições. Num Mac gerido, o perfil pertence ao administrador, e o movimento certo é pedir um resumo não secreto em vez de editar uma carga útil gerida. Os dois casos parecem iguais na barra de menus e comportam-se de forma totalmente diferente por baixo. Um é seu para inspecionar e alterar; o outro está implementado e será restaurado na próxima verificação.

Essa distinção importa porque as configurações geridas e pessoais são governadas de forma diferente. Um perfil instalado pela gestão será substituído ou reaplicado, por isso uma edição local ou falha ou reverte em silêncio. Peça ao proprietário o tipo, a identidade do gateway e o método de autenticação em vez de fazer engenharia inversa de um ficheiro que não controla.

Leia o VPNType antes de qualquer outra coisa na carga útil

O esquema de carga útil de VPN gerida da Apple declara o tipo de ligação na chave VPNType, dentro de um dicionário cujo PayloadType é com.apple.vpn.managed. O valor é um token curto como IKEv2, IPsec, L2TP ou VPN, e tudo o resto na carga útil é interpretado segundo esse token.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Este fragmento é ilustrativo e não instalável: é uma entrada de um array de carga útil, despida dos metadados do perfil e das credenciais de que uma implementação real precisa. Leia-o pela forma, não pelo conteúdo. Repare também que RemoteAddress e RemoteIdentifier são campos diferentes com tarefas diferentes, mesmo quando uma implementação lhes dá a mesma cadeia.

Um valor legado como PPTP ainda pode aparecer num ficheiro antigo sem ser uma opção que o macOS atual ofereça para uma configuração nova. Encontrar um token num perfil guardado prova o que foi escrito, não o que o sistema operativo ainda aceitará.

Os tipos personalizados exigem VPNSubType e a aplicação proprietária

Quando VPNType é VPN, a carga útil também tem de transportar VPNSubType, que identifica o plug-in ou o fornecedor de Network Extension que implementa a ligação. É esse identificador que encaminha a ligação para um cliente concreto, por isso um subtipo errado produz um perfil que se instala e depois se recusa a arrancar.

Nos fornecedores baseados em extensões de aplicação, o identificador pertence à aplicação que a contém e não a um nome de extensão adivinhado, e é esse o detalhe que as pessoas costumam errar ao editar um perfil à mão. Mesmo um subtipo correto descreve o cliente, não o protocolo de fio, o método de autenticação nem a política de acesso remoto que esse cliente usará.

Assim, uma carga útil personalizada diz-lhe que software possui a ligação e pouco mais. Para saber o que negoceia, leia a documentação do próprio fornecedor e as suas definições configuradas. Copiar um subtipo do perfil de outra organização não é uma técnica de configuração; é um palpite que por acaso se analisa.

Liste o que o Mac realmente configurou

Antes de ler qualquer ficheiro, pergunte ao sistema que serviços existem e em que estado estão. A vista de linha de comandos é mais rápida do que clicar pelos painéis e imprime o tipo ao lado de cada entrada.

scutil --nc list
scutil --nc show "Office VPN"

O primeiro comando lista os serviços de VPN configurados com o estado atual, e o segundo imprime as definições do serviço selecionado, incluindo o tipo e o endereço do servidor com que vai contactar. Compare esse endereço com o gateway que lhe disseram para esperar, porque uma entrada obsoleta a apontar para um anfitrião retirado é um problema de herança comum.

Estes comandos mostram configuração e estado; não provam que um túnel transporte tráfego. Se o serviço estiver desligado, a saída descreve uma intenção e não uma sessão a funcionar. Um serviço ligado sem tráfego é ainda outro problema, normalmente encaminhamento ou DNS e não o tipo de protocolo. Mantenha essas três observações separadas, ou o diagnóstico volta aos palpites.

Mantenha as definições guardadas à parte de uma sessão ativa

Um perfil guardado é uma declaração de intenção. Não mostra que o gateway ainda oferece esse serviço, que este perfil é o ativo ou que uma sessão foi negociada com sucesso. São três perguntas separadas e cada uma tem a sua própria evidência.

Use a vista de estado do proprietário ou ferramentas de diagnóstico para identificar a ligação ativa e a identidade que o gateway apresentou. Uma análise de portas ou um certificado visto num site não relacionado não responde a nenhuma das duas perguntas, e o nome comum de um certificado não é o mesmo que o identificador remoto esperado.

Quando o tipo guardado já não corresponde ao que o gateway suporta, obtenha um perfil de substituição junto do proprietário. Alterar a cadeia do tipo não traduz credenciais entre protocolos nem transforma um esquema de autenticação noutro. Partilhe o resumo também pelo canal de suporte aprovado, uma vez que as configurações exportadas podem transportar credenciais e chaves privadas que um pedido de suporte nunca precisou.