SonicWall VPN на Mac: клієнт SSL чи вбудований L2TP?

Почніть із Mac, а потім рухайтеся назовні, бо рішення про клієнта ухвалює міжмережевий екран, і воно лише відображається на робочому столі. Відкрийте Системні налаштування, подивіться, яка конфігурація VPN уже є, і задайте адміністратору одне питання, перш ніж вводити пароль. Відповідь — це ввімкнена служба віддаленого доступу, а не модель пристрою на сторінці входу. Два клієнти можуть бути на одному ноутбуці, і жоден із них не буде правильним.

Запитайте шлюз, яка служба ввімкнена

Дві служби віддаленого доступу виступають під однією назвою продукту і поводяться зовсім по-різному. Одна — це SSL VPN, до якої дістаються клієнтом постачальника, а друга — IPsec або L2TP, які може набрати вбудований клієнт macOS. Вони різняться портами, автентифікацією та розподілом адрес, тому профіль однієї не придатний для іншої. Вибір лише з боку Mac — це здогад, перевдягнений у конфігурацію.

Попросіть три речі одразу: службу, яка ліцензована й увімкнена, клієнт і версію, які ця служба підтримує в macOS, і потік автентифікації, якого вона очікує. Усе менше залишає вас здогадуватися на наступній помилці.

Пройдіть шлях вбудованого L2TP

Вбудоване з'єднання існує на Mac щоразу, коли додано профіль, і панель налаштувань показує його поруч із Wi-Fi та Ethernet. Якщо список порожній, машина взагалі не має конфігурації VPN, і проблема в підготовці, а не у зв'язку. Команда нижче виводить те, що система справді зберігає, включно з конфігураціями, які інтерфейс може приховувати.

Прочитайте вивід, перш ніж щось додавати, бо застарілий профіль зі знайомим ім'ям — часта причина того, що нове налаштування виглядає проігнорованим. Потім порівняйте адресу сервера з адресою, яку дав адміністратор, а не з тією, що в старій заявці. Обидві перевірки тривають хвилину і прибирають два звичні глухі кути.

scutil --nc list
networksetup -listallnetworkservices

Вбудованому запису L2TP також потрібні спільний секрет, ім'я користувача й пароль, а ще шлюз, який пропонує цю службу на очікуваних портах. Коли чогось із цього немає, Mac повідомляє про помилку автентифікації або про те, що сервер не відповідає, і жодне повідомлення не відрізняє неправильний секрет від служби, яка ніколи не вмикалася. Тримайте всі три значення разом, коли звіряєте нотатки з адміністратором.

Пройдіть шлях клієнта SSL

Клієнт SSL VPN підключається через TLS до порталу, потім запускає власний тунель і власну політику адрес. Йому потрібні адреса порталу, обліковий запис і другий чинник, якого вимагає розгортання, і зазвичай він встановлює мережеве розширення під час першого запуску. Профіль, експортований для одного клієнта, рідко імпортується в інший, навіть коли обидва внизу говорять IPsec. Нічого з цього не з'являється в списку VPN у Системних налаштуваннях, доки розширення не схвалено.

Два клієнти SSL, встановлені поруч, можуть конкурувати за те саме мережеве розширення, і зазвичай перемагає завантажений першим. Видаліть невикористовуваний клієнт перед встановленням схваленого, потім перезавантажтеся, щоб список розширень побудувався заново.

Порівняйте версію macOS із поточною заявою постачальника про підтримку перед встановленням і очікуйте, що інсталятор попросить схвалення в розділі «Конфіденційність і безпека». Заблоковане розширення виглядає точно як з'єднання, яке ніколи не починається.

Правильно прочитайте повідомлення про зміну бренду

Імена клієнтів змінюються, і перейменування не є зміною протоколу. Повідомлення постачальника про те, що Mobile Connect стає NetExtender, описує брендинг, тому стару заяву про підтримку настільних платформ не можна перенести на кожен застосунок із новим ім'ям.

Визначте клієнт, який ви справді встановили, за ідентифікатором пакета й версією, а не за написом на значку. Ця відмінність вирішує, яка матриця підтримки застосовується до вашого Mac.

Якщо ввімкнена служба й підтримуваний клієнт Mac не перетинаються, чесні варіанти — схвалена альтернативна служба або запланована зміна шлюзу. Переписування спільної політики заради одного ноутбука або купівля застосунку тому, що його згадав відповідь на форумі, залишає питання сумісності рівно там, де воно почалося.