Какой протокол стоит за сохранённым профилем VPN на Mac?

Кто-то называет подключение на Mac «офисным VPN», метка переживает две миграции сервера, и все продолжают называть его офисным VPN ещё долго после того, как протокол сменился. Имя — это прозвище, сохранённое рядом с конфигурацией; оно не доказывает, о чём договаривается Mac. Чтение объявленного типа требует одного поля, а отделение сохранённого типа от живой сессии — ещё одного шага. Вот порядок, который избегает догадок.

Метка — это прозвище, тип объявляет полезная нагрузка

Служба VPN в macOS — это запись системной конфигурации с отображаемым именем, клиентом-владельцем и набором типизированных параметров. Отображаемое имя — свободный текст, который может изменить любой, кто создал запись, и именно эту часть пользователи видят в строке меню. Параметры несут факты: какой тип подключения, какой шлюз, какая схема аутентификации. Ничто не держит эти две части в согласии, поэтому профиль с именем «офис L2TP» может быть службой IKEv2.

Для подключения, созданного лично, эти параметры показывают приложение-владелец или собственная панель VPN системы. На управляемом Mac профиль принадлежит администратору, и правильный шаг — запросить несекретную сводку, а не редактировать управляемую полезную нагрузку. Оба случая выглядят одинаково в строке меню и ведут себя совершенно по-разному под ней. Один ваш для осмотра и изменения; другой развёрнут и будет восстановлен при следующей проверке.

Это различие важно, потому что управляемые и личные конфигурации управляются по-разному. Профиль, установленный управлением, будет заменён или применён повторно, поэтому локальное изменение либо не удаётся, либо тихо откатывается. Попросите у владельца тип, идентичность шлюза и метод аутентификации вместо обратной разработки файла, которым вы не управляете.

Прочитайте VPNType прежде всего остального в полезной нагрузке

Схема управляемой полезной нагрузки VPN от Apple объявляет тип подключения в ключе VPNType, внутри словаря, чей PayloadType — com.apple.vpn.managed. Значение — короткий токен, например IKEv2, IPsec, L2TP или VPN, и всё остальное в полезной нагрузке интерпретируется согласно этому токену.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Этот фрагмент иллюстративен, а не устанавливаем: это одна запись массива полезной нагрузки, лишённая метаданных профиля и учётных данных, которые нужны реальному развёртыванию. Читайте его ради формы, а не содержания. Обратите также внимание, что RemoteAddress и RemoteIdentifier — разные поля с разными задачами, даже когда развёртывание даёт им одну и ту же строку.

Устаревшее значение, например PPTP, всё ещё может встречаться в старом файле, не будучи вариантом, который текущая macOS предлагает для новой конфигурации. Нахождение токена в сохранённом профиле доказывает, что было записано, а не то, что операционная система всё ещё примет.

Пользовательские типы требуют VPNSubType и приложения-владельца

Когда VPNType равен VPN, полезная нагрузка должна также нести VPNSubType, который определяет плагин или поставщика Network Extension, реализующего подключение. Именно этот идентификатор направляет подключение к конкретному клиенту, поэтому неверный подтип даёт профиль, который устанавливается и затем отказывается запускаться.

У поставщиков на основе расширения приложения идентификатор принадлежит содержащему приложению, а не угаданному имени расширения, и именно эту деталь люди обычно путают при ручном редактировании профиля. Даже правильный подтип описывает клиента, а не проводной протокол, метод аутентификации или политику удалённого доступа, которую будет использовать этот клиент.

Итак, пользовательская полезная нагрузка сообщает, какое программное обеспечение владеет подключением, и немного больше. Чтобы узнать, о чём оно договаривается, прочитайте собственную документацию этого поставщика и его настроенные параметры. Копирование подтипа из профиля другой организации — не метод конфигурации; это догадка, которая случайно разбирается парсером.

Перечислите, что Mac действительно настроил

Прежде чем читать любой файл, спросите систему, какие службы существуют и в каком они состоянии. Представление из командной строки быстрее, чем щёлканье по панелям, и печатает тип рядом с каждой записью.

scutil --nc list
scutil --nc show "Office VPN"

Первая команда перечисляет настроенные службы VPN с их текущим состоянием, а вторая печатает параметры выбранной службы, включая тип и адрес сервера, с которым она будет связываться. Сравните этот адрес со шлюзом, который вам сказали ожидать, потому что устаревшая запись, указывающая на выведенный хост, — распространённая наследственная проблема.

Эти команды показывают конфигурацию и состояние; они не доказывают, что туннель несёт трафик. Если служба отключена, вывод описывает намерение, а не работающую сессию. Подключённая служба без трафика — снова другая проблема, обычно маршрутизация или DNS, а не тип протокола. Держите эти три наблюдения раздельно, иначе диагностика снова скатится к догадкам.

Держите сохранённые параметры отдельно от живой сессии

Сохранённый профиль — это заявление о намерении. Он не показывает, что шлюз всё ещё предлагает эту службу, что этот профиль активен или что сессия успешно согласована. Это три отдельных вопроса, и у каждого свои доказательства.

Используйте представление статуса у владельца или средства диагностики, чтобы определить активное подключение и идентичность, которую представил шлюз. Сканирование портов или сертификат, замеченный на постороннем сайте, не отвечают ни на один из этих вопросов, а общее имя сертификата — не то же самое, что ожидаемый удалённый идентификатор.

Когда сохранённый тип больше не соответствует тому, что поддерживает шлюз, получите заменяющий профиль у его владельца. Изменение строки типа не переводит учётные данные между протоколами и не превращает одну схему аутентификации в другую. Передайте сводку также по утверждённому каналу поддержки, поскольку экспортированные конфигурации могут содержать учётные данные и закрытые ключи, которые запросу в поддержку никогда не требовались.