Ktorý protokol sa skrýva za uloženým profilom VPN na Macu?

Niekto nazve pripojenie na Macu „Office VPN“, štítok prežije dve migrácie servera a všetci ho naďalej nazývajú office VPN dlho po tom, čo sa protokol zmenil. Názov je prezývka uložená vedľa konfigurácie; nie je dôkazom toho, o čom sa Mac dohaduje. Prečítanie deklarovaného typu zaberie jedno pole a oddelenie tohto uloženého typu od živej relácie ďalší krok. Tu je poradie, ktoré sa vyhýba hádaniu.

Štítok je prezývka, typ deklaruje dátová časť

Služba VPN v macOS je položka systémovej konfigurácie so zobrazovaným názvom, vlastniacim klientom a sadou typovaných nastavení. Zobrazovaný názov je voľný text, ktorý môže upraviť ktokoľvek, kto položku vytvoril, a práve túto časť používatelia vidia v riadku ponuky. Nastavenia nesú fakty: aký typ pripojenia, ktorá brána, aká schéma overovania. Nič neudržiava oboje v súlade, a preto profil s názvom „L2TP office“ môže byť služba IKEv2.

Pri pripojení vytvorenom osobne tieto nastavenia zobrazuje vlastniaca aplikácia alebo vlastný panel VPN systému. Na spravovanom Macu patrí profil správcovi a správnym krokom je požiadať o nesúkromné zhrnutie namiesto úpravy spravovanej dátovej časti. Oba prípady vyzerajú v riadku ponuky podobne a pod povrchom sa správajú úplne inak. Jeden je váš na kontrolu a zmenu; druhý je nasadený a pri ďalšej kontrole bude obnovený.

Tento rozdiel je dôležitý, pretože spravované a osobné konfigurácie sa riadia odlišne. Profil nainštalovaný správou bude nahradený alebo znova použitý, takže lokálna úprava buď zlyhá, alebo sa ticho vráti späť. Požiadajte vlastníka o typ, identitu brány a metódu overovania namiesto reverzného inžinierstva súboru, ktorý neovládate.

Prečítajte VPNType skôr než čokoľvek iné v dátovej časti

Schéma spravovanej dátovej časti VPN od Applu deklaruje typ pripojenia v kľúči VPNType, vo vnútri slovníka, ktorého PayloadType je com.apple.vpn.managed. Hodnota je krátky token ako IKEv2, IPsec, L2TP alebo VPN a všetko ostatné v dátovej časti sa vykladá podľa tohto tokenu.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Tento fragment je ilustratívny, nie inštalovateľný: je to jedna položka poľa dátovej časti, zbavená metadát profilu a prihlasovacích údajov, ktoré skutočné nasadenie potrebuje. Čítajte ho kvôli tvaru, nie kvôli obsahu. Všimnite si tiež, že RemoteAddress a RemoteIdentifier sú rôzne polia s rôznymi úlohami, aj keď im nasadenie dá rovnaký reťazec.

Staršia hodnota ako PPTP sa môže v starom súbore stále objaviť, hoci nie je voľbou, ktorú súčasný macOS ponúka pre novú konfiguráciu. Nájdenie tokenu v uloženom profile dokazuje, čo bolo zapísané, nie to, čo operačný systém ešte prijme.

Vlastné typy potrebujú VPNSubType a vlastniacu aplikáciu

Keď je VPNType VPN, dátová časť musí niesť aj VPNSubType, ktorý určuje zásuvný modul alebo poskytovateľa Network Extension, ktorý pripojenie implementuje. Práve tento identifikátor smeruje pripojenie ku konkrétnemu klientovi, takže nesprávny podtyp vytvorí profil, ktorý sa nainštaluje a potom odmietne naštartovať.

U poskytovateľov založených na rozšírení aplikácie patrí identifikátor obsahujúcej aplikácii, nie odhadnutému názvu rozšírenia, a to je detail, ktorý ľudia pri ručnej úprave profilu zvyčajne pomýlia. Aj správny podtyp opisuje klienta, nie drôtový protokol, metódu overovania alebo politiku vzdialeného prístupu, ktorú tento klient použije.

Vlastná dátová časť vám teda povie, ktorý softvér pripojenie vlastní, a málo iného. Ak chcete zistiť, o čom sa dohaduje, prečítajte si vlastnú dokumentáciu tohto poskytovateľa a jeho nakonfigurované nastavenia. Kopírovanie podtypu z profilu inej organizácie nie je technika konfigurácie; je to hádanka, ktorá náhodou prejde parsovaním.

Vymenujte, čo Mac skutočne nakonfiguroval

Skôr než prečítate akýkoľvek súbor, opýtajte sa systému, aké služby existujú a v akom sú stave. Pohľad z príkazového riadku je rýchlejší než preklikávanie panelov a vypisuje typ vedľa každej položky.

scutil --nc list
scutil --nc show "Office VPN"

Prvý príkaz vypíše nakonfigurované služby VPN s ich aktuálnym stavom a druhý vypíše nastavenia vybranej služby vrátane typu a adresy servera, s ktorým bude komunikovať. Porovnajte túto adresu s bránou, ktorú ste očakávali, pretože zastaraná položka ukazujúca na vyradeného hostiteľa je častý problém dedičstva.

Tieto príkazy zobrazujú konfiguráciu a stav; nedokazujú, že tunelom prechádza prevádzka. Ak je služba odpojená, výstup opisuje zámer, nie fungujúcu reláciu. Pripojená služba bez prevádzky je zase iný problém, zvyčajne smerovanie alebo DNS, nie typ protokolu. Udržujte tieto tri pozorovania oddelené, inak sa diagnostika zrúti späť do hádania.

Udržujte uložené nastavenia oddelené od živej relácie

Uložený profil je vyhlásenie o zámere. Neukazuje, že brána túto službu stále ponúka, že tento profil je aktívny alebo že sa relácia úspešne dohodla. To sú tri samostatné otázky a každá má svoje vlastné dôkazy.

Pomocou stavového pohľadu vlastníka alebo diagnostických nástrojov určte aktívne pripojenie a identitu, ktorú brána predložila. Skenovanie portov alebo certifikát videný na nesúvisiacej stránke neodpovedá ani na jednu otázku a bežný názov certifikátu nie je to isté ako očakávaný vzdialený identifikátor.

Keď uložený typ už nezodpovedá tomu, čo brána podporuje, zaobstarajte náhradný profil od jej vlastníka. Zmena reťazca typu neprekladá prihlasovacie údaje medzi protokolmi a nerobí z jednej schémy overovania inú. Zdieľajte zhrnutie aj schváleným kanálom podpory, pretože exportované konfigurácie môžu niesť prihlasovacie údaje a súkromné kľúče, ktoré žiadosť o podporu nikdy nepotrebovala.