Aling protocol ang nasa likod ng naka-save na Mac VPN profile?

May tumatawag sa isang koneksyon sa Mac na „VPN ng opisina“, nakaligtas ang label sa dalawang paglilipat ng server, at patuloy pa ring tinatawag ito ng lahat na VPN ng opisina matagal matapos magbago ang protocol. Ang pangalan ay isang palayaw na naka-save sa tabi ng configuration; hindi ito patunay ng kung ano ang pinag-uusapan ng Mac. Ang pagbasa sa idineklarang uri ay isang field lang, at ang paghihiwalay ng naka-save na uri mula sa buhay na sesyon ay isa pang hakbang. Narito ang pagkakasunod-sunod na umiiwas sa hula.

Palayaw ang label, idinedeklara ng payload ang uri

Ang serbisyo ng VPN sa macOS ay isang entry sa configuration ng system na may display name, kliyenteng may-ari at isang set ng naka-type na setting. Ang display name ay malayang teksto, maaaring i-edit ng sinumang gumawa ng entry, at ito ang bahaging nakikita ng mga user sa menu bar. Ang mga setting ang nagdadala ng katotohanan: anong uri ng koneksyon, aling gateway, anong scheme ng authentication. Walang nagpapanatiling magkasundo ang dalawa, kaya ang profile na tinatawag na „opisina L2TP“ ay maaaring serbisyong IKEv2.

Para sa koneksyong personal na ginawa, ipinapakita ng app na may-ari o ng sariling panel ng VPN ng system ang mga setting na iyon. Sa isang managed na Mac, pag-aari ng administrator ang profile, at ang tamang hakbang ay humingi ng buod na hindi lihim sa halip na i-edit ang managed na payload. Magkahawig ang dalawang kaso sa menu bar at lubos na magkaiba ang kilos sa ilalim. Isa ang sa iyo upang siyasatin at baguhin; ang isa ay na-deploy at ibabalik sa susunod na pagsusuri.

Mahalaga ang pagkakaibang ito dahil iba ang pamamahala sa managed at personal na configuration. Ang profile na inilagay ng pamamahala ay papalitan o ilalapat muli, kaya ang lokal na pag-edit ay nabibigo o tahimik na bumabalik. Hingin sa may-ari ang uri, pagkakakilanlan ng gateway at paraan ng authentication sa halip na mag-reverse engineer ng file na hindi mo kontrolado.

Basahin ang VPNType bago ang anupaman sa payload

Idinedeklara ng schema ng managed na VPN payload ng Apple ang uri ng koneksyon sa key na VPNType, sa loob ng dictionary na ang PayloadType ay com.apple.vpn.managed. Ang halaga ay maikling token tulad ng IKEv2, IPsec, L2TP o VPN, at ang lahat ng iba pa sa payload ay binibigyang-kahulugan ayon sa token na iyon.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Ang bahaging ito ay halimbawa lamang at hindi mai-install: isa itong entry ng array ng payload, hinubaran ng metadata ng profile at ng mga kredensyal na kailangan ng tunay na deployment. Basahin ito para sa hugis, hindi para sa nilalaman. Pansinin din na ang RemoteAddress at RemoteIdentifier ay magkaibang field na may magkaibang tungkulin, kahit ibigay ng deployment ang parehong string sa kanila.

Ang lumang halaga tulad ng PPTP ay maaari pa ring lumitaw sa lumang file nang hindi isang pagpipiliang inaalok ng kasalukuyang macOS para sa bagong configuration. Ang makakita ng token sa naka-save na profile ay nagpapatunay kung ano ang naisulat, hindi kung ano ang tatanggapin pa ng operating system.

Kailangan ng custom na uri ang VPNSubType at ang app na may-ari

Kapag VPNType ay VPN, dapat ding magdala ang payload ng VPNSubType, na tumutukoy sa plugin o provider ng Network Extension na nagpapatupad ng koneksyon. Ang identifier na iyon ang nagdadala ng koneksyon sa isang partikular na kliyente, kaya ang maling subtype ay gumagawa ng profile na nai-install at pagkatapos ay tumatangging magsimula.

Sa mga provider na nakabatay sa extension ng app, pag-aari ng app na naglalaman ng identifier, hindi ng hinulaang pangalan ng extension, at ito ang detalyeng karaniwang nagkakamali ang mga tao kapag mano-manong nag-e-edit ng profile. Kahit ang tamang subtype ay naglalarawan sa kliyente, hindi sa protocol sa kawad, sa paraan ng authentication o sa patakaran sa malayong pag-access na gagamitin ng kliyenteng iyon.

Kaya sinasabi ng custom na payload kung aling software ang may-ari ng koneksyon, at kaunti pa. Upang malaman kung ano ang pinag-uusapan nito, basahin ang dokumentasyon ng provider na iyon at ang mga naka-configure nitong setting. Ang pagkopya ng subtype mula sa profile ng ibang organisasyon ay hindi teknik sa configuration; ito ay isang hula na nagkataong napaparse.

Ilista kung ano talaga ang na-configure ng Mac

Bago magbasa ng anumang file, tanungin ang system kung anong mga serbisyo ang umiiral at anong kalagayan ang mga ito. Ang view sa command line ay mas mabilis kaysa sa pag-click sa mga panel at ipiniprint nito ang uri sa tabi ng bawat entry.

scutil --nc list
scutil --nc show "Office VPN"

Inililista ng unang utos ang mga naka-configure na serbisyo ng VPN kasama ang kasalukuyang estado, at ipiniprint ng pangalawa ang mga setting ng napiling serbisyo, kabilang ang uri at ang address ng server na kokontakin nito. Ihambing ang address na iyon sa gateway na sinabing asahan mo, dahil ang lumang entry na tumuturo sa retiradong host ay karaniwang problema ng mana.

Ipinapakita ng mga utos na ito ang configuration at estado; hindi nila pinapatunayan na may trafik na dinadala ang tunnel. Kung disconnected ang serbisyo, inilalarawan ng output ang intensyon at hindi ang gumaganang sesyon. Ang konektadong serbisyo na walang trafik ay ibang problema na naman, karaniwang routing o DNS at hindi ang uri ng protocol. Panatilihing hiwalay ang tatlong obserbasyong iyon, kung hindi ay babalik sa hula ang diagnosis.

Panatilihing hiwalay ang naka-save na setting mula sa buhay na sesyon

Ang naka-save na profile ay pahayag ng intensyon. Hindi nito ipinapakita na inaalok pa ng gateway ang serbisyong iyon, na ito ang aktibong profile, o na matagumpay na nakipag-usap ang isang sesyon. Tatlong magkaibang tanong iyon at may sariling ebidensya ang bawat isa.

Gamitin ang view ng estado ng may-ari o mga tool sa diagnostic upang matukoy ang aktibong koneksyon at ang pagkakakilanlang inilahad ng gateway. Ang pag-scan ng port o sertipikong nakita sa walang kaugnayang site ay hindi sumasagot sa alinman sa dalawang tanong, at ang karaniwang pangalan ng sertipiko ay hindi kapareho ng inaasahang remote identifier.

Kapag hindi na tumutugma ang naka-save na uri sa sinusuportahan ng gateway, kumuha ng kapalit na profile mula sa may-ari nito. Ang pagpapalit ng string ng uri ay hindi nagsasalin ng kredensyal sa pagitan ng mga protocol at hindi ginagawang iba ang isang scheme ng authentication. Ibahagi rin ang buod sa pamamagitan ng aprubadong channel ng suporta, dahil ang mga na-export na configuration ay maaaring magdala ng kredensyal at pribadong key na hindi kailanman kailangan ng isang kahilingan sa suporta.