Ce protocol stă în spatele acelui profil VPN de Mac salvat?

Cineva numește o conexiune de Mac „VPN birou”, eticheta supraviețuiește două migrări de server, iar toți continuă să o numească VPN birou mult după ce protocolul s-a schimbat. Numele este o poreclă stocată lângă configurație; nu este dovada a ceea ce negociază Mac-ul. Citirea tipului declarat costă un câmp, iar separarea acelui tip stocat de o sesiune activă costă încă un pas. Iată ordinea care evită ghicitul.

Eticheta este o poreclă, payload-ul declară tipul

Un serviciu VPN din macOS este o intrare de configurare a sistemului cu un nume afișat, un client proprietar și un set de setări tipizate. Numele afișat este text liber, editabil de oricine a creat intrarea, și este partea pe care utilizatorii o văd în bara de meniu. Setările poartă faptele: ce tip de conexiune, ce gateway, ce schemă de autentificare. Nimic nu le ține sincronizate, de aceea un profil numit „birou L2TP” poate fi un serviciu IKEv2.

Pentru o conexiune creată personal, aplicația proprietară sau propriul panou VPN al sistemului afișează acele setări. Pe un Mac gestionat, profilul aparține administratorului, iar mișcarea corectă este să ceri un rezumat non-secret în loc să editezi un payload gestionat. Cele două cazuri arată la fel în bara de meniu și se comportă complet diferit dedesubt. Unul este al tău pentru inspecție și modificare; celălalt este implementat și va fi restaurat la următoarea verificare.

Această distincție contează pentru că configurațiile gestionate și cele personale sunt guvernate diferit. Un profil instalat de management va fi înlocuit sau reaplicat, așa că o editare locală fie eșuează, fie revine în tăcere. Cere proprietarului tipul, identitatea gateway-ului și metoda de autentificare în loc să faci inginerie inversă pe un fișier pe care nu îl controlezi.

Citiți VPNType înainte de orice altceva din payload

Schema de payload VPN gestionat a Apple declară tipul conexiunii în cheia VPNType, într-un dicționar al cărui PayloadType este com.apple.vpn.managed. Valoarea este un token scurt precum IKEv2, IPsec, L2TP sau VPN, iar tot restul din payload este interpretat conform acelui token.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Acest fragment este ilustrativ, nu instalabil: este o intrare dintr-o matrice de payload, lipsită de metadatele profilului și de acreditările de care are nevoie o implementare reală. Citiți-l pentru formă, nu pentru conținut. Observați și că RemoteAddress și RemoteIdentifier sunt câmpuri diferite cu sarcini diferite, chiar și atunci când o implementare le dă același șir.

O valoare veche precum PPTP poate apărea încă într-un fișier vechi fără a fi o opțiune pe care macOS-ul actual o oferă pentru o configurație nouă. Găsirea unui token într-un profil salvat dovedește ce s-a scris, nu ce va mai accepta sistemul de operare.

Tipurile personalizate necesită VPNSubType și aplicația proprietară

Când VPNType este VPN, payload-ul trebuie să poarte și VPNSubType, care identifică plug-in-ul sau furnizorul Network Extension ce implementează conexiunea. Acest identificator este cel care direcționează conexiunea către un client anume, așa că un subtip greșit produce un profil care se instalează și apoi refuză să pornească.

La furnizorii bazați pe extensie de aplicație, identificatorul aparține aplicației care o conține, nu unui nume de extensie ghicit, și acesta este detaliul pe care oamenii îl greșesc de obicei când editează un profil manual. Chiar și un subtip corect descrie clientul, nu protocolul de fir, metoda de autentificare sau politica de acces la distanță pe care o va folosi acel client.

Așadar un payload personalizat îți spune ce software deține conexiunea și puțin altceva. Pentru a afla ce negociază, citește documentația furnizorului respectiv și setările lui configurate. Copierea unui subtip din profilul altei organizații nu este o tehnică de configurare; este o presupunere care se întâmplă să fie analizată.

Enumerați ce a configurat de fapt Mac-ul

Înainte de a citi orice fișier, întrebați sistemul ce servicii există și în ce stare sunt. Vizualizarea din linia de comandă este mai rapidă decât clicurile prin panouri și tipărește tipul lângă fiecare intrare.

scutil --nc list
scutil --nc show "Office VPN"

Prima comandă listează serviciile VPN configurate cu starea lor actuală, iar a doua tipărește setările serviciului selectat, inclusiv tipul și adresa serverului cu care va comunica. Comparați acea adresă cu gateway-ul pe care vi s-a spus să îl așteptați, pentru că o intrare învechită care indică un host retras este o problemă de moștenire obișnuită.

Aceste comenzi arată configurația și starea; nu dovedesc că un tunel transportă trafic. Dacă serviciul este deconectat, rezultatul descrie o intenție, nu o sesiune funcțională. Un serviciu conectat fără trafic este din nou altă problemă, de obicei rutare sau DNS și nu tipul de protocol. Țineți cele trei observații separate, altfel diagnosticul revine la presupuneri.

Țineți setările salvate separat de o sesiune activă

Un profil salvat este o declarație de intenție. Nu arată că gateway-ul mai oferă acel serviciu, că acest profil este cel activ sau că o sesiune a negociat cu succes. Sunt trei întrebări separate și fiecare are propria dovadă.

Folosiți vizualizarea de stare a proprietarului sau instrumente de diagnostic pentru a identifica conexiunea activă și identitatea prezentată de gateway. O scanare de porturi sau un certificat văzut pe un site nelegat nu răspunde la niciuna dintre întrebări, iar numele comun al unui certificat nu este același lucru cu identificatorul la distanță așteptat.

Când tipul salvat nu mai corespunde cu ce acceptă gateway-ul, obțineți un profil de înlocuire de la proprietarul lui. Schimbarea șirului de tip nu traduce acreditările între protocoale și nu transformă o schemă de autentificare în alta. Împărtășiți rezumatul și prin canalul de suport aprobat, deoarece configurațiile exportate pot purta acreditări și chei private de care o cerere de suport nu a avut niciodată nevoie.