Mac 上的 SonicWall VPN：SSL 客户端还是原生 L2TP？

从 Mac 开始，再向外排查，因为客户端的选择由防火墙决定，只会在桌面端体现。打开系统设置，看看已有哪些 VPN 配置，并在输入密码前向管理员问一个问题。答案是已启用的远程访问服务，而不是登录页面上的设备型号。一台笔记本上可以有两个客户端，但两个都不对。

问清网关启用的是哪种服务

同一个产品名下有两种远程访问服务，行为完全不同。一种是靠厂商客户端接入的 SSL VPN，另一种是 macOS 自带客户端可以拨号的 IPsec 或 L2TP。两者在端口、认证和地址分配上都不同，所以一种的配置文件对另一种毫无用处。只看 Mac 这一侧来选，是把猜测包装成了配置。

一次问清三件事：哪项服务已授权并启用、该服务在 macOS 上支持哪个客户端和版本、以及它要求哪种认证流程。少问一件，下次失败时你只能继续猜。

走一遍原生 L2TP 的路径

只要添加过配置文件，Mac 上就有原生连接，设置面板会把它显示在 Wi-Fi 和以太网旁边。如果列表是空的，这台机器根本没有 VPN 配置，问题出在配置下发而不是连接。下面的命令会打印系统实际保存的内容，包括界面可能隐藏的配置。

先读输出再动手添加，因为一个名字熟悉的旧配置文件，常常让新设置看起来被忽略。然后把服务器地址与管理员给你的地址对照，而不是与旧工单里的地址对照。两项检查各花一分钟，却能排除两个常见的死胡同。

scutil --nc list
networksetup -listallnetworkservices

原生 L2TP 条目还需要共享密钥、用户名和密码，以及一个在预期端口上提供该服务的网关。只要缺一项，Mac 报的就是认证错误或服务器无响应，而这两种提示都分不清密钥输错和服务从未启用。与管理员核对时，把这三项放在一起。

走一遍 SSL 客户端的路径

SSL VPN 客户端通过 TLS 连接到门户，然后运行自己的隧道和自己的地址策略。它需要门户地址、账号，以及部署所强制的第二因素，首次运行时通常会安装一个网络扩展。为某个客户端导出的配置文件很少能导入另一个客户端，即使两者底层都讲 IPsec。在扩展获批之前，这些都不会出现在系统设置的 VPN 列表里。

并排安装的两个 SSL 客户端可能争用同一个网络扩展，先加载的往往获胜。安装获批的客户端之前，先卸载不用的那个，然后重启，让扩展列表重建。

安装前，把 macOS 版本与厂商当前的支持声明对照一下，并预期安装程序会在隐私与安全性里请求批准。被阻止的扩展看起来和始终无法开始的连接一模一样。

正确读懂品牌更名通知

客户端名称会变，改名并不等于协议改变。厂商通知说 Mobile Connect 正在变为 NetExtender，说的是品牌，所以一条关于桌面平台支持的旧说明，不能套用到每个带新名字的应用上。

用包标识符和版本确认你实际安装的客户端，而不是看图标上的标签。这个区别决定了哪种支持矩阵适用于你的 Mac。

如果已启用的服务与受支持的 Mac 客户端没有交集，诚实的选项是获批的替代服务，或计划中的网关变更。为了让一台笔记本满意而改写共享策略，或者因为论坛回答提到某个应用就去购买，只会让兼容性问题停在原地。