Hoe om 'n Mac-VPN-kliënt te kies vir die gateway wat jy reeds het

Ses Mac-VPN-toepassings verskyn op 'n aflaai-bladsy en nie een sê watter een jou werkgewer se gateway sal aanvaar nie. Dit is nie 'n leemte in die winkel nie; dit is 'n leemte in die oorhandiging. 'n SSL VPN is 'n produkfamilie, nie 'n protokol nie, so twee gateways met identiese aanmeldskerms kan verskillende kliënte vereis. Hier is die volgorde wat ek volg wanneer iemand vir my 'n Mac en 'n bedieneradres gee: bepaal wat die gateway praat, kies die kliënt wat daarby pas, en verifieer dan roetes en DNS voordat jy die tonnel met werk vertrou.

Begin by die gateway, nie by die toepwinkel nie

Die toepassing loop op jou Mac, maar iets anders moet die verbinding aanvaar en toegang verleen: 'n gateway met 'n operateur, 'n adres, versoenbare instellings en 'n manier om jou te magtig. 'n Gratis kliënt kan goeie sagteware wees en tog niks daarvan bied nie. Werkstoegang, 'n tuis-gateway en 'n kommersiële internetuitgang is drie verskillende beginpunte wat toevallig dieselfde aflaai-bladsy deel.

Voordat jy iets installeer of vervang, kry vier antwoorde by die persoon wat die diens bestuur:

• Toegangsmodus: blaaierportaal, toegang tot geselekteerde toepassings of 'n volledige netwerktonnel. Dit bepaal of jy hoegenaamd 'n kliënt nodig het.

• Gateway-familie en ondersteunde weergawe: die produk, die geaktiveerde diens en 'n kliëntweergawe wat nog jou macOS-bou en Mac-hardeware ondersteun.

• Verifikasie: wagwoord plus MFA, aanmelding in die blaaier, 'n toestelsertifikaat of 'n postuurtoets. 'n Kliënt sonder die goedgekeurde vloei sal verbind en dan verwerp word.

• Eienaarskap: die vertroude aflaai- of bestuurbron, die bedoelde profiel en wie dit ondersteun wanneer dit breek.

Eienaarskap is die punt wat mense oorslaan. Op 'n bestuurde Mac kom die profiel dikwels deur die organisasie se bestuurstelsel, en 'n selfgeboude konfigurasie kan by die volgende aanmelding vervang word. Vra of daar van jou verwag word om self iets te installeer voordat jy na 'n derdeparty-toepassing gaan soek.

SSL VPN is 'n familie-etiket, nie 'n protokol nie

TLS kan 'n verbinding beskerm terwyl 'n produkspesifieke uitruiling daarbinne aanmelding, sessietoewysing en tonnelverkeer hanteer. Dit is daardie innerlike uitruiling wat 'n kliënt moet implementeer. 'n Blaaier wat die gateway se HTTPS-aanmeldbladsy bereik, bewys die sertifikaatketting en die webbedien; dit bewys nie dat 'n onverwante VPN-toepassing 'n tonnel na dieselfde masjien kan bou nie.

OpenConnect is die duidelikste voorbeeld wat ek ken. Sy opstroom-dokumentasie lys aparte protokolmodusse vir verskillende gateway-families en skei interoperabiliteit van amptelike verskaffersondersteuning. As elke SSL VPN een protokol gepraat het, sou daardie modusse onnodig wees.

'n OpenVPN-profiel het dieselfde beperking in die ander rigting: dit is 'n invoerformaat vir 'n OpenVPN-versoenbare ontplooiing. Om TLS as bousteen te deel, maak dit nie 'n konfigurasielêer vir 'n willekeurige ondernemingsgateway nie. Daarom is 'n werkende blaaieraanmelding 'n valsposisie: portaaltoegang kan slaag terwyl geen tonnel bestaan nie, en 'n tonnel wat opkom, kan later steeds deur 'n postuurtoets geweier word.

Pas die kliënt by wat die gateway praat

Sodra die familie bekend is, word die keuse vinnig smaller. Dit is die kartering wat ek eerste nagaan, en die laaste kolom tel meer as enige gradering van 'n toepassing.

Twee rye verdien 'n waarskuwing. Die ingeboude macOS-kliënt is 'n egte IKEv2-implementering, nie 'n generiese SSL VPN-kliënt nie: 'n diens wat daarvoor ontwerp is, het die korrekte profiel, die verwagte bedieneridentiteit en geloofsbriewe nodig, en op 'n bestuurde masjien kan daardie profiel gesluit wees. OpenConnect dek verskeie verskafferprotokolle uit een binêre lêer, maar sy eie projek maak nie aanspraak op verskaffersondersteuning nie; skandering van die gasheer, gateway-gestuurde reëls vir verdeelde tonneling of 'n spesifieke SSO-vloei mag net in die verskafferkliënt bestaan.

WireGuard het dieselfde vorm. Die diens lewer eweknieë, die kliënt lewer die tonnel, en 'n OpenVPN-profiel is nie 'n plaasvervanger nie. Een macOS-kreuk: die App Store-kliënt hou sy tonnele binne 'n Netwerkuitbreiding, so wg show uit die Homebrew-gereedskap kan niks rapporteer terwyl die koppelvlak op is nie. Verifieer eerder met roetes en verkeer.

Konfigureer, verifieer dan in 'n vaste volgorde

Installeer een kliënt en een profiel, en hou 'n nota van wat jy verander het. Voordat jy verbind, neem 'n basislyn op sodat jy kan sien wat die tonnel verander:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Verbind met die verskafte profiel en herhaal dieselfde opdragte. Vir 'n volledige tonnel moet die verstekroete na 'n utun-koppelvlak wys; met verdeelde tonneling moet net die interne prefixe geroteer word en jou openbare uitgang moet onveranderd lyk. DNS is die helfte wat gewoonlik stukkend bly: scutil --dns lys oplossers in die volgorde wat die stelsel sal gebruik, en 'n interne oplosser onder 'n openbare een sal interne name na die verkeerde bediener stuur.

Vir 'n OpenVPN-diens is Tunnelblick 'n redelike kostelose kliënt, en sy eie gids is reguit oor die ontbrekende helfte: dit verskaf nie 'n VPN-diens nie. Dubbelklik op die .ovpn wat jy gekry het, laat Tunnelblick dit installeer, en kontroleer die weergawe teen jou macOS-weergawe voordat jy daarop staatmaak.

Vir 'n verskaffergateway toets ek dikwels met OpenConnect vanaf die opdragreël:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Die instrument druk die sertifikaat wat dit ontvang het en wag voordat dit 'n onbekende ketting vertrou; daardie opdrag is 'n kenmerk, en vaspen met --servercert pin-sha256:... is beter as om 'n waarskuwing te aanvaar wat jy nie gelees het nie. Ctrl-C breek die tonnel af, want 'n voorgrond-openconnect het geen doodskakelaar en geen herverbindingslogika nie. Dit is goed vir 'n diagnostiese sessie en 'n swak verstek vir daaglikse werk.

Wanneer daar geen gateway is om by te pas nie

Sommige mense kom met die teenoorgestelde probleem: geen operateur, geen adres, geen diens. 'n Gratis Mac-toepassing kan nie inkomende bereikbaarheid by 'n tuisroeteerder skep nie. As jy jou eie netwerk vanaf 'n hotel wil hê, moet iemand 'n gateway by die huis bedryf, dit opgedateer hou, sy adres publiseer of oplos en besluit watter toestelle bereikbaar is.

As jy 'n ander internetuitgang wil eerder as toegang tot 'n private netwerk, kies die diens voor die kliënt. 'n Leë profielys in 'n selfstandige kliënt is dikwels nie 'n gebreekte gratis intekening nie; daar is dalk geen intekening en geen bediener gekoppel nie. Hou ook die koste uitmekaar: 'n kliëntlisensie, 'n diensplan en 'n selfbedryfde gateway is drie verskillende aankope.

'n Werks-Mac voeg 'n beleidslaag by. 'n Kostelose toepassing kan verkeerd wees selfs wanneer dit verbind, want die goedgekeurde kliënt kan toestelkontroles of 'n verifikasievloei afdwing wat die alternatief nie het nie. Vra vir 'n goedgekeurde alternatief eerder as om geloofsbriewe tussen onverwante toepassings te kopieer, en moenie die uitskakeling van platformbeskermings as 'n versoenbaarheidsoplossing beskou nie.

'n Afstandbeheer-kijker is ook 'n ander produk. Dit wys jou 'n sessie op 'n ander rekenaar; dit gee nie jou Mac se plaaslike toepassings die netwerkpad wat 'n tonnel bied nie.

'n Kort kontrolelys voor die eerste werklike sessie

Noem die gateway-familie en die toegangsmodus op skrif, installeer net die kliënt wat daarby pas, en teken die profiel aan wat jy gebruik het. Bevestig dan drie dinge met werklike verkeer: die roetes wat die tonnel geïnstalleer het, die oplosserorde, en een interne toepassing wat by naam eerder as by IP bereik word.

As iets misluk, verander een veranderlike op 'n slag: kliënt, profiel, verifikasievloei. 'n Portaal wat laai terwyl die tonnel weier om te begin, skei 'n webbedienprobleem van 'n kliëntversoenbaarheidsprobleem. Sodra die werkdiens antwoord en die openbare pad optree soos verwag, het jy 'n benoemde, ondersteunde reëling in plaas van 'n hoop raaiskote.