Mac VPN parametrləri server başlatmır: şlüz harada yerləşir

macOS-də VPN adını iki fərqli iş daşıyır və parametrlər paneli onlardan yalnız birini idarə edir. Bu Mac-in trafiki provayder və ya uzaq şlüz vasitəsilə çıxsın istəyirsinizsə, sizə yalnız müştəri girişi lazımdır. Otel otağından ev şəbəkənizdəki printerə, NAS-a və ya idarəetmə səhifəsinə çatmaq istəyirsinizsə, o şəbəkədəki nəyinsə kənardan gələn bağlantıları qəbul etməsi lazımdır və hazırkı Mac qutudan çıxan kimi belə bir şey deyil. Hansı halda olduğunuzu üç sual həll edir və sahəyə ünvan yazmazdan əvvəl onlara cavab verməyə dəyər.

Müştəri girişi dinləyicini deyil, təyinatı adlandırır

macOS Ventura və sonrakı versiyalarda Sistem Parametrləri > Şəbəkə > VPN bölməsində köhnə buraxılışların Şəbəkə üstünlükləri altında saxladığı sahələr başqasının son nöqtəsinə necə çatmağı təsvir edir: server ünvanı, uzaq ID, hesab və ya sertifikat və istəyə bağlı qoşulma qaydaları. Bu girişi saxlamaq Mac-in şəbəkə konfiqurasiyasında bağlantı saxlayır. Prosesdə heç nə port bağlamır, dinləyici açmır və uzaq istifadəçi qeydiyyata almır.

Bunu qabıqdan yoxlaya bilərsiniz. Xidmət verdiyini güman etdiyiniz Mac-də sudo lsof -nP -iUDP işə salın və protokolunuzun istifadə etdiyi portlara baxın: IKEv2 üçün 500 və 4500, OpenVPN-in standartı üçün 1194, WireGuard üçün 51820. Yalnız müştəri olan maşın uzaq ünvan və portla cütlənmiş soketlər göstərir, internetdəki hər şeyin çata biləcəyi vəhşi kart bağlaması deyil. Network Extension daxilində işləyən tunellər lsof-dan gizlənə bilər, ona görə hər halda tətbiqin öz status panelini də yoxlayın; tapa bilməyəcəyiniz şey bu Mac-i şlüzə çevirən Apple üstünlüyüdür.

İki rolu üç sual ayırır

Onları sıra ilə işləyin. Birincisi adətən qalanını həll edir, üçüncüsü isə Mac-ə xas planlaşdırmanın ən çox səhv getdiyi yerdir.

1. Söhbətə kim başlayır? Mac-iniz xaricə zəng edirsə və qarşı tərəf cavab verirsə, sizə müştəri lazımdır. İnternetdəki cihazlar şəbəkənizə çatmaq üçün içəri zəng etməlidirsə, sizə ictimai giriş nöqtəsi olan şlüz lazımdır və Mac həmin şlüzün müştərisi olaraq qala bilər.

2. Tunel açıqkən nə əlçatan olmalıdır? Bir hostda bir xidmət port yönləndirmə qərarıdır. Ad həllini də əhatə edən bütöv alt şəbəkə marşrutlaşdırma və DNS qərarıdır və bu, müştəri girişinin nə dediyini deyil, şlüzün nə yönləndirməli olduğunu dəyişir.

3. Qəbul edən tərəfi hansı OS buraxılışı işlədir? Mac-lar üçün bu sualın qəti cavabı var. Apple VPN-in macOS Server 5.7.1-dən çıxarıldığını qeyd edir və macOS Server tətbiqinin özü 21 aprel 2022-ci ildə dayandırılıb; köhnə təlimat sizi artıq mövcud olmayan VPN xidməti onay qutusundan keçirəndə oxunmalı səhifə xidmət tarixçəsi bildirişi adlanır.

Birinci cavab “kimsə kənardan başlayır” olduqda, Mac-in müştəri panelində açar axtarmağı dayandırın və tuneli sonlandıracaq hostu seçin.

Şlüz əvəzinə harada yerləşə bilər

Dörd tənzimləmə ev və kiçik ofis hallarının çoxunu əhatə edir. Fərqli etiketli müştəri rejimindən fərqli olaraq əsl server rejimi olan marşrutlaşdırıcı tuneli kənarda sonlandırır və host sayını aşağı saxlayır, lakin sizi həmin proqram təminatının protokol dəstəyinə bağlayır. NAS və ya daim işləyən mini kompüter satıcının server paketini işlədir və oxuya biləcəyiniz jurnallar qoyur. Kiçik bulud VM sizə nəzarət etdiyiniz ictimai ünvan verir və evə ikinci tunel ilə çatır. WireGuard üzərində qurulmuş mesh şəbəkə və ya peer-lər arasında ötürmə edən idarə olunan xidmət hər iki tərəfi xaricə zəng etdirməklə daxil olan port yönləndirməsini yan keçir.

Bu seçimlər arasındakı sərhəd adətən proqram deyil, internet bağlantınızdır. Provayder sizi daşıyıcı səviyyəli NAT arxasına qoyursa, marşrutlaşdırıcıda nə qədər port yönləndirmə etsəniz də əlçatan giriş nöqtəsi yaranmır və dürüst cavab ötürmə və ya mesh tənzimləməsidir. Marşrutlaşdırıcının bildirdiyi WAN ünvanını xarici dünyanın gördüyü ünvanla müqayisə edin; fərqlənirsə və marşrutlaşdırıcının dəyəri özəl və ya paylaşılan diapazondadırsa, ötürmə halına hazırlaşın.

Hansı hostu seçsəniz də, diapazon deyil, bir portda bir protokol yönləndirin və işlətdiyiniz macOS buraxılışı üçün konkret məhsul server rolu sənədləşdirmirsə, Mac-i daxil olan yoldan kənarda saxlayın.

Profilləri paylamazdan əvvəl rolu təsdiqləyin

Namizəd şlüzdə quraşdırıcının dinləyici yaratdığına güvənmək əvəzinə onun mövcudluğunu sübut edin. macOS-də bu, yuxarıdakı portlara süzülmüş sudo lsof -nP -iUDP və paket süzgəci qaydaları dizaynın hissəsidirsə sudo pfctl -s nat deməkdir. Linux-da ss -lunp eyni faktları birmənalı göstərir.

Sonra şəbəkədən kənarda, protokolun özü ilə sınaqdan keçirin. Ping az şey sübut edir: ICMP adətən süzülür və UDP 51820 haqqında heç nə demir. Mobil datada telefondan işlədilən ətraflı jurnallı müştəri əl sıxması ən ucuz real sınaqdır, çünki uzaq həmkarın keçəcəyi yolun eynisindən keçir.

Yalnız bundan sonra müştəri profillərinə toxunun. Mac-də scutil --nc list sistemin bildiyi VPN xidmətlərini çap edir; yenicə qurduğunuz şlüz onların arasında deyilsə, sınaqdan keçirdiyiniz maşından fərqli bir maşın konfiqurasiya edirsiniz. Əl sıxma LAN-da uğurlu olub kənardan uğursuz olursa, qüsur daxil olan yoldadır: NAT qaydası, provayder CGNAT-ı və ya şlüzdə firewall, bu sıra ilə.

Nə isə qurmazdan əvvəl dörd məqamı həll edin:

• Bağlantıya hansı tərəf başlayır, Mac-iniz yoxsa uzaq cihaz.
• Qəbul edən hostun OS buraxılışı və məhsulu həqiqətən server rolunu dəstəkləyirmi.
• Provayderiniz ümumiyyətlə əlçatan ictimai ünvan verirmi.
• Şlüz hansı tək portu və protokolu qəbul edəcək və onun arxasında hansı xidmət cavab verir.

Növbəti addım konkretdir: şlüz hostunu seçin, onun dinləyicisini kənardan təsdiqləyin və yalnız bundan sonra Mac-də ona işarə edən müştəri girişini yaradın.