Mac-VPN-instellings begin nie 'n bediener nie: waar die deurgang lê

Twee verskillende take dra die naam VPN in macOS, en die instellingspaneel hanteer net een daarvan. As jy wil hê dat hierdie Mac se verkeer deur 'n verskaffer of 'n afgeleë deurgang moet uitgaan, is 'n kliëntinskrywing al wat jy nodig het. As jy die drukker, die NAS of 'n administrasiebladsy op jou tuisnetwerk vanuit 'n hotelkamer wil bereik, dan moet iets op daardie netwerk verbindings van buite aanvaar, en 'n huidige Mac is nie daardie iets uit die boks nie. Drie vrae bepaal in watter geval jy is, en dit is die moeite werd om hulle te antwoord voordat jy 'n adres in 'n veld tik.

'n Kliëntinskrywing noem 'n bestemming, nie 'n luisteraar nie

In Stelselinstellings > Netwerk > VPN op macOS Ventura en later beskryf die velde wat ouer weergawes onder Netwerk-voorkeure hou hoe om iemand anders se eindpunt te bereik: 'n bedieneradres, 'n afgeleë ID, 'n rekening of sertifikaat, en opsionele reëls om op aanvraag te konnekteer. Om daardie inskrywing te stoor, bewaar 'n verbinding in jou Mac se netwerkkonfigurasie. Niks in die proses bind 'n poort, open 'n luisteraar of skryf 'n afgeleë gebruiker in nie.

Jy kan dit van die dop af nagaan. Op 'n Mac wat jy vermoed bedien, voer sudo lsof -nP -iUDP uit en kyk na die poorte wat jou protokol gebruik: 500 en 4500 vir IKEv2, 1194 vir OpenVPN se verstek, 51820 vir WireGuard. 'n Masjien wat net 'n kliënt is, wys sokkels wat met 'n afgeleë adres en poort gepaar is, nie 'n wildcard-binding wat enigiets op die internet kan bereik nie. Tonnels wat in 'n Network Extension loop, kan vir lsof wegkruip, so kruiskontroleer in elk geval die app se eie statuspaneel; wat jy nie gaan vind nie, is 'n Apple-voorkeur wat hierdie Mac in die deurgang omskep.

Drie vrae skei die twee rolle

Werk hulle in volgorde deur. Die eerste een besluit gewoonlik die res, en die derde een is waar die meeste Mac-spesifieke beplanning verkeerd loop.

1. Wie begin die gesprek? As jou Mac uitbel en die ander kant antwoord, het jy 'n kliënt nodig. As toestelle op die internet moet inbel om jou netwerk te bereik, het jy 'n deurgang met 'n publieke toegangspunt nodig, en die Mac kan 'n kliënt van daardie deurgang bly.

2. Wat moet bereikbaar wees terwyl die tonnel op is? Een diens op een gasheer is 'n poortaanstuur-besluit. 'n Hele subnet, naamoplossing ingesluit, is 'n routering- en DNS-besluit, en dit verander wat die deurgang moet aanstuur eerder as wat die kliëntinskrywing sê.

3. Watter bedryfstelselweergawe laat die aanvaardende kant loop? Vir Macs het daardie vraag 'n harde antwoord. Apple lys VPN as verwyder uit macOS Server 5.7.1, en die macOS Server-app self is op 21 April 2022 gestaak; die kennisgewing oor die diensgeskiedenis is die bladsy om te lees wanneer 'n ou tutoriaal jou deur 'n merkie vir die VPN-diens lei wat nie meer bestaan nie.

Wanneer die eerste antwoord “iemand van buite begin” is, hou op om na 'n skakelaar in die Mac se kliëntpaneel te soek en gaan kies die gasheer wat die tonnel sal beëindig.

Waar die deurgang eerder kan woon

Vier reëlings dek die meeste tuis- en klein-kantoorgevalle. 'n Roeteerder met 'n egte bediener-modus, in teenstelling met 'n kliënt-modus met 'n ander etiket, beëindig die tonnel by die rand en hou die gasheertal laag, teen die koste dat jy aan daardie firmware se protokolondersteuning gebind is. 'n NAS of 'n altyd-aan mini-rekenaar loop die verskaffer se bedienerpakket en laat jou logs wat jy kan lees. 'n Klein wolk-VM gee jou 'n publieke adres wat jy beheer en bereik die huis oor 'n tweede tonnel. 'n Maasnetwerk op WireGuard, of 'n bestuurde diens wat tussen eweknieë deurgee, omseil inkomende poortaanstuur deur beide kante te laat uitbel.

Die grens tussen daardie opsies is gewoonlik jou internetverbinding, nie die sagteware nie. As die ISP jou agter draerdraende NAT plaas, lewer geen hoeveelheid roeteerder-poortaanstuur 'n bereikbare toegangspunt nie, en 'n deurgee- of maasreëling is die eerlike antwoord. Vergelyk die WAN-adres wat jou roeteerder rapporteer met die adres wat die buitewêreld sien; as hulle verskil en die roeteerder se waarde in 'n private of gedeelde reeks lê, beplan vir die deurgee-geval.

Watter gasheer jy ook al kies, stuur een protokol op een poort aan eerder as 'n reeks, en hou die Mac uit die inkomende pad tensy daardie spesifieke produk 'n bedienerrol vir die macOS-weergawe wat jy loop, dokumenteer.

Bevestig die rol voordat jy profiele uitdeel

Op die kandidaat-deurgang, bewys dat 'n luisteraar bestaan in plaas daarvan om te vertrou dat die installeerder een geskep het. Op macOS beteken dit sudo lsof -nP -iUDP gefiltreer na die poorte hierbo, plus sudo pfctl -s nat as pakkiefilter-reëls deel van die ontwerp is. Op Linux wys ss -lunp dieselfde feite sonder dubbelsinnigheid.

Toets dan van buite die netwerk, met die protokol self. Ping bewys min: ICMP word gewoonlik gefiltreer en sê niks oor UDP 51820 nie. 'n Kliënt-handdruk met uitvoerige logboeke, vanaf 'n selfoon op sellulêre data, is die goedkoopste werklike toets omdat dit dieselfde pad kruis as wat 'n afgeleë kollega sal.

Eers daarna raak jy kliëntprofiele aan. Op die Mac druk scutil --nc list die VPN-dienste uit wat die stelsel ken; as die deurgang wat jy pas gebou het nie onder hulle is nie, konfigureer jy 'n ander masjien as die een wat jy getoets het. As die handdruk op die LAN slaag maar van buite misluk, is die fout in die inkomende pad: NAT-reël, verskaffer-CGNAT, of 'n vuurmuur op die deurgang, in daardie volgorde.

Voordat jy enigiets bou, besluit vier punte:

• Watter kant begin die verbinding, jou Mac of 'n afgeleë toestel.
• Of die aanvaardende gasheer se bedryfstelselweergawe en produk werklik 'n bedienerrol ondersteun.
• Of jou ISP hoegenaamd 'n bereikbare publieke adres gee.
• Watter enkele poort en protokol die deurgang sal aanvaar, en watter diens agter dit antwoord.

Die volgende stap is konkreet: kies die deurganggasheer, bevestig sy luisteraar van buite, en eers dan skep die kliëntinskrywing op die Mac wat daarheen wys.