Artıq malik olduğunuz gateway üçün Mac VPN müştərisini necə seçmək lazımdır

Yükləmə səhifəsində altı Mac VPN tətbiqi görünür və heç biri işəgötürəninizin gateway-inin hansını qəbul edəcəyini demir. Bu mağazada boşluq deyil; ötürmədə boşluqdur. Bir SSL VPN protokol deyil, məhsul ailəsidir, ona görə eyni giriş ekranları olan iki gateway fərqli müştərilər tələb edə bilər. Kimsə mənə Mac və server ünvanı verəndə istifadə etdiyim sıra budur: gateway-in nə danışdığını müəyyən et, ona uyğun müştərini seç, sonra tunelə iş etibar etməzdən əvvəl marşrutları və DNS-i yoxla.

Gateway-dən başlayın, tətbiq mağazasından yox

Tətbiq Mac-inizdə işləyir, amma bağlantını qəbul edib giriş verən başqa bir şey lazımdır: operatoru, ünvanı, uyğun parametrləri və sizi icazələndirmə yolu olan gateway. Pulsuz müştəri yaxşı proqram ola bilər və yenə də bunların heç birini verməz. İş girişi, ev gateway-i və kommersiya internet çıxışı eyni yükləmə səhifəsini paylaşan üç fərqli başlanğıcdır.

Nəyisə quraşdırmadan və ya dəyişməzdən əvvəl xidməti idarə edəndən dörd cavab alın:

• Giriş rejimi: brauzer portalı, seçilmiş tətbiqlərə giriş və ya tam şəbəkə tuneli. Bu, ümumiyyətlə müştəri lazım olub-olmadığını müəyyən edir.

• Gateway ailəsi və dəstəklənən buraxılış: məhsul, aktiv xidmət və hələ də macOS versiyanızı və Mac aparatınızı dəstəkləyən müştəri versiyası.

• Autentifikasiya: parol və MFA, brauzerdən giriş, cihaz sertifikatı və ya cihaz vəziyyətinin yoxlanması. Təsdiqlənmiş axını olmayan müştəri qoşulur, sonra rədd edilir.

• Sahiblik: etibarlı yükləmə və ya idarəetmə mənbəyi, nəzərdə tutulan profil və pozulanda onu kimin dəstəklədiyi.

Sahiblik insanların atladığı bənddir. İdarə olunan Mac-də profil çox vaxt təşkilatın idarəetmə sistemi ilə gəlir və əl ilə qurulmuş konfiqurasiya növbəti yoxlamada dəyişdirilə bilər. Üçüncü tərəf tətbiqi axtarmazdan əvvəl sizdən nəyisə özünüz quraşdırmağınızın gözlənilib-gözlənilmədiyini soruşun.

SSL VPN protokol deyil, ailə adıdır

TLS bağlantını qoruya bilər, halbuki onun içindəki məhsula xas mübadilə girişi, sessiya ayrılmasını və tunel trafikini idarə edir. Müştərinin tətbiq etməli olduğu elə həmin daxili mübadilədir. Brauzerin gateway-in HTTPS giriş səhifəsinə çatması sertifikat zəncirini və veb serveri sübut edir; əlaqəsiz bir VPN tətbiqinin eyni maşına tunel qura biləcəyini sübut etmir.

OpenConnect bildiyim ən aydın nümunədir. Onun yuxarı axın sənədləri müxtəlif gateway ailələri üçün ayrı protokol rejimləri sadalayır və qarşılıqlı işləməni rəsmi satıcı dəstəyindən ayırır. Hər SSL VPN bir protokol danışsaydı, o rejimlər lazımsız olardı.

OpenVPN profili eyni məhdudiyyəti tərs istiqamətdə yaşayır: o, OpenVPN uyğun quraşdırma üçün idxal formatıdır. TLS-i tikinti bloku kimi paylaşmaq onu ixtiyari korporativ gateway üçün konfiqurasiya faylına çevirmir. Buna görə işləyən brauzer girişi yalançı müsbətdir: portal girişi uğurlu ola bilər, tunel isə heç olmaz; qalxan tunel də sonradan cihaz yoxlaması ilə rədd edilə bilər.

Müştərini gateway-in danışdığına uyğunlaşdırın

Ailə bilinəndən sonra seçim tez daralır. İlk yoxladığım xəritələmə budur və son sütun istənilən tətbiq reytinqindən vacibdir.

İki sətir xəbərdarlıq istəyir. Daxili macOS müştərisi əsl IKEv2 tətbiqidir, ümumi SSL VPN müştərisi deyil: onun üçün hazırlanmış xidmət düzgün profil, gözlənilən server kimliyi və etimad məlumatları tələb edir və idarə olunan maşında o profil kilidlənə bilər. OpenConnect bir binardan bir neçə satıcı protokolunu əhatə edir, lakin öz layihəsi satıcı dəstəyi iddia etmir; host skanı, gateway-in təqdim etdiyi bölünmüş tunel qaydaları və ya xüsusi SSO axını yalnız satıcı müştərisində ola bilər.

WireGuard da eyni formadadır. Xidmət peer-ləri, müştəri tuneli verir və OpenVPN profili əvəz deyil. Bir macOS incəliyi: App Store müştərisi tunellərini Şəbəkə Genişlənməsi içində saxlayır, ona görə interfeys işləyərkən Homebrew alətlərindən wg show heç nə göstərməyə bilər. Bunun əvəzinə marşrutlar və trafiklə yoxlayın.

Konfiqurasiya edin, sonra sabit sıra ilə yoxlayın

Bir müştəri və bir profil quraşdırın və nəyi dəyişdiyinizin qeydini saxlayın. Qoşulmadan əvvəl baza xətti çəkin ki, tunelin nəyi dəyişdiyini görəsiniz:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Verilən profillə qoşulun və eyni əmrləri təkrarlayın. Tam tunel üçün standart marşrut utun interfeysinə göstərməlidir; bölünmüş tuneldə yalnız daxili prefikslər marşrutlaşdırılmalı və xarici çıxışınız dəyişməmiş görünməlidir. DNS adətən sınıq qalan yarıdır: scutil --dns həllediciləri sistemin istifadə edəcəyi sıra ilə sadalayır və açıq həlledicinin altındakı daxili həlledici daxili adları səhv serverə göndərəcək.

OpenVPN xidməti üçün Tunnelblick məqbul, ödənişsiz müştəridir və onun öz bələdçisi çatışmayan yarım haqqında açıqdır: o, VPN xidməti təqdim etmir. Sizə verilən .ovpn faylına iki dəfə klikləyin, Tunnelblick onu quraşdırsın və etibar etməzdən əvvəl buraxılışı macOS versiyanızla yoxlayın.

Satıcı gateway-i üçün tez-tez OpenConnect ilə əmr sətrindən sınaq keçirirəm:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Alət aldığı sertifikatı çap edir və naməlum zəncirə etibar etməzdən əvvəl gözləyir; bu sorğu bir xüsusiyyətdir və --servercert pin-sha256:... ilə bərkitmək oxumadığınız xəbərdarlığı qəbul etməkdən yaxşıdır. Ctrl-C tuneli kəsir, çünki ön planda işləyən openconnect-də nə kill switch, nə də yenidən qoşulma məntiqi var. Bu diaqnostik sessiya üçün yaxşıdır, gündəlik iş üçün pis standartdır.

Uyğunlaşdırılacaq gateway olmadıqda

Bəziləri əks problemlə gəlir: operator yox, ünvan yox, xidmət yox. Pulsuz Mac tətbiqi ev marşrutlaşdırıcısında gələn əlçatanlıq yarada bilməz. Oteldən öz şəbəkənizi istəyirsinizsə, kimsə evdə gateway işlətməli, onu yeniləmiş saxlamalı, ünvanını yayımlamalı və ya həll etməli və hansı cihazların əlçatan olduğuna qərar verməlidir.

Şəxsi şəbəkəyə giriş əvəzinə fərqli internet çıxışı istəyirsinizsə, xidməti müştəridən əvvəl seçin. Ayrıca müştəridə boş profil siyahısı çox vaxt pozulmuş pulsuz abunə deyil; abunə və qoşulmuş server olmaya bilər. Xərcləri də ayırın: müştəri lisenziyası, xidmət planı və özünüz işlətdiyiniz gateway üç fərqli alışdır.

İş Mac-i siyasət qatı əlavə edir. Ödənişsiz tətbiq qoşulsa belə səhv ola bilər, çünki təsdiqlənmiş müştəri cihaz yoxlamaları və ya alternativdə olmayan autentifikasiya axını tələb edə bilər. Etimad məlumatlarını əlaqəsiz tətbiqlər arasında köçürmək əvəzinə təsdiqlənmiş alternativ istəyin və platforma müdafiələrini söndürməyi uyğunluq düzəlişi saymayın.

Uzaq masaüstü görüntüləyicisi də başqa məhsuldur. O, sizə başqa kompüterdə sessiya göstərir; Mac-inizdəki yerli tətbiqlərə tunelin verdiyi şəbəkə yolunu vermir.

İlk real sessiyadan əvvəl qısa yoxlama siyahısı

Gateway ailəsini və giriş rejimini yazılı adlandırın, yalnız onlara uyğun müştərini quraşdırın və istifadə etdiyiniz profili qeyd edin. Sonra real trafiklə üç şeyi təsdiqləyin: tunelin quraşdırdığı marşrutları, həlledici sırasını və IP ilə deyil, adla çatılan bir daxili tətbiqi.

Bir şey uğursuz olarsa, hər dəfə bir dəyişəni dəyişin: müştəri, profil, autentifikasiya axını. Portalın yüklənməsi, tunelin isə başlamaqdan imtina etməsi veb server problemini müştəri uyğunluğu problemindən ayırır. İş xidməti cavab verəndə və açıq yol gözlənildiyi kimi davrananda, bir yığın təxmindən ibarət deyil, adlandırılmış və dəstəklənən bir quruluşunuz olur.