Kako odabrati Mac VPN klijent za gateway koji već imate

Šest Mac VPN aplikacija pojavljuje se na stranici za preuzimanje i nijedna ne kaže koju će gateway vašeg poslodavca prihvatiti. To nije praznina u trgovini; to je praznina u primopredaji. Jedan SSL VPN je porodica proizvoda, a ne protokol, pa dva gatewaya s identičnim ekranima za prijavu mogu zahtijevati različite klijente. Ovo je redoslijed koji koristim kada mi neko preda Mac i adresu servera: utvrdite šta gateway govori, odaberite klijent koji mu odgovara, pa provjerite rute i DNS prije nego tunelu povjerite posao.

Počnite od gatewaya, a ne od trgovine aplikacija

Aplikacija radi na vašem Macu, ali nešto drugo mora prihvatiti vezu i dati pristup: gateway s operaterom, adresom, kompatibilnim postavkama i načinom da vas ovlasti. Besplatan klijent može biti dobar softver i ipak ne pružati ništa od toga. Pristup poslu, kućni gateway i komercijalni internetski izlaz tri su različite početne točke koje slučajno dijele istu stranicu za preuzimanje.

Prije nego što išta instalirate ili zamijenite, dobijte četiri odgovora od onoga ko upravlja uslugom:

• Način pristupa: portala u pregledniku, pristup odabranim aplikacijama ili puni mrežni tunel. To odlučuje treba li vam klijent uopće.

• Porodica gatewaya i podržano izdanje: proizvod, omogućena usluga i verzija klijenta koja još podržava vašu macOS verziju i Mac hardver.

• Autentikacija: lozinka plus MFA, prijava preko preglednika, certifikat uređaja ili provjera stanja uređaja. Klijent bez odobrenog toka će se povezati i zatim biti odbijen.

• Vlasništvo: pouzdan izvor preuzimanja ili upravljanja, predviđeni profil i ko ga podržava kada se pokvari.

Vlasništvo je stavka koju ljudi preskaču. Na upravljanom Macu profil često dolazi kroz sistem upravljanja organizacije, a ručno izgrađena konfiguracija može biti zamijenjena pri sljedećoj provjeri. Pitajte očekuje li se da sami nešto instalirate prije nego što potražite aplikaciju treće strane.

SSL VPN je oznaka porodice, ne protokol

TLS može štititi vezu dok razmjena specifična za proizvod unutar nje obrađuje prijavu, dodjelu sesija i promet tunela. Upravo tu unutrašnju razmjenu klijent mora implementirati. Preglednik koji dosegne HTTPS stranicu za prijavu gatewaya dokazuje lanac certifikata i web server; ne dokazuje da nepovezana VPN aplikacija može izgraditi tunel do istog stroja.

OpenConnect je najjasniji primjer koji znam. Njegova dokumentacija projekta navodi odvojene protokolarne načine za različite porodice gatewaya i odvaja interoperabilnost od službene podrške proizvođača. Da svaki SSL VPN govori jedan protokol, ti načini ne bi bili potrebni.

OpenVPN profil ima isto ograničenje u obrnutom smjeru: to je format za uvoz za OpenVPN-kompatibilno postavljanje. Dijeljeni TLS kao gradivni blok ne pretvara ga u konfiguracijsku datoteku za proizvoljan korporativni gateway. Zato je radna prijava u pregledniku lažno pozitivna: pristup portalu može uspjeti dok tunela nema, a podignuti tunel kasnije može biti odbijen provjerom stanja uređaja.

Uskladite klijent s onim što gateway govori

Kad je porodica poznata, izbor se brzo sužava. Ovo je mapiranje koje prvo provjeravam, a posljednja kolona važnija je od bilo koje ocjene aplikacije.

Dva reda zaslužuju upozorenje. Ugrađeni macOS klijent prava je IKEv2 implementacija, a ne generički SSL VPN klijent: usluga napravljena za njega traži ispravan profil, očekivani identitet servera i vjerodajnice, a na upravljanom stroju taj profil može biti zaključan. OpenConnect pokriva nekoliko protokola proizvođača iz jednog binarnog fajla, ali njegov vlastiti projekt ne tvrdi podršku proizvođača; skeniranje hosta, pravila podijeljenog tunela koja gura gateway ili određeni SSO tok mogu postojati samo u klijentu proizvođača.

WireGuard ima isti oblik. Usluga daje peere, klijent daje tunel, a OpenVPN profil nije zamjena. Jedna macOS finesa: App Store klijent drži svoje tunele unutar mrežnog proširenja, pa wg show iz Homebrew alata može ne pokazati ništa dok je sučelje aktivno. Provjeravajte rutama i prometom.

Konfigurirajte, pa provjerite u fiksnom redu

Instalirajte jedan klijent i jedan profil i zapišite šta ste promijenili. Prije povezivanja snimite osnovno stanje da biste vidjeli šta tunel mijenja:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Povežite se s dostavljenim profilom i ponovite iste naredbe. Kod punog tunela zadana ruta treba pokazivati na utun sučelje; uz podijeljeni tunel rutiraju se samo unutrašnji prefiksi, a vaš javni izlaz treba izgledati nepromijenjeno. DNS je polovina koja obično ostane pokvarena: scutil --dns navodi razrješivače redom kojim će ih sistem koristiti, a unutrašnji razrješivač ispod javnog slat će unutrašnja imena na pogrešan server.

Za OpenVPN uslugu Tunnelblick je razuman besplatan klijent, a njegov vlastiti vodič otvoreno govori o nedostajućoj polovini: ne pruža VPN uslugu. Dvaput kliknite .ovpn koji ste dobili, pustite Tunnelblick da ga instalira i provjerite izdanje prema svojoj macOS verziji prije nego se na njega oslonite.

Za gateway proizvođača često testiram OpenConnect iz komandne linije:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Alat ispisuje primljeni certifikat i čeka prije nego povjeruje nepoznatom lancu; taj upit je značajka, a prikvačivanje s --servercert pin-sha256:... bolje je od prihvatanja upozorenja koje niste pročitali. Ctrl-C ruši tunel, jer openconnect u prvom planu nema ni prekidač ni logiku ponovnog povezivanja. To je dobro za dijagnostičku sesiju i loš zadani izbor za svakodnevni rad.

Kada nema gatewaya za usklađivanje

Neki dolaze s obrnutim problemom: nema operatera, nema adrese, nema usluge. Besplatna Mac aplikacija ne može stvoriti dolaznu dostupnost na kućnom ruteru. Ako želite vlastitu mrežu iz hotela, neko mora voditi gateway kod kuće, držati ga ažurnim, objaviti ili razriješiti njegovu adresu i odlučiti kojim se uređajima može pristupiti.

Ako želite drugačiji internetski izlaz, a ne pristup privatnoj mreži, odaberite uslugu prije klijenta. Prazna lista profila u samostalnom klijentu često nije pokvarena besplatna pretplata; možda nema ni pretplate ni povezanog servera. Držite troškove odvojeno: licenca za klijent, plan usluge i vlastiti gateway tri su različite kupovine.

Radni Mac dodaje sloj politike. Besplatna aplikacija može biti pogrešna čak i kad se povezuje, jer odobreni klijent može nametati provjere uređaja ili tok autentikacije koji alternativa nema. Tražite odobrenu alternativu umjesto kopiranja vjerodajnica između nepovezanih aplikacija i ne smatrajte isključivanje platformskih zaštita popravkom kompatibilnosti.

Preglednik udaljenog radnog stola također je drugi proizvod. On vam pokazuje sesiju na drugom računaru; ne daje lokalnim aplikacijama vašeg Maca mrežni put koji pruža tunel.

Kratka kontrolna lista prije prve prave sesije

Navedite pismeno porodicu gatewaya i način pristupa, instalirajte samo klijent koji im odgovara i zabilježite korišteni profil. Zatim potvrdite tri stvari stvarnim prometom: rute koje je tunel instalirao, redoslijed razrješivača i jednu unutrašnju aplikaciju do koje se dolazi imenom, a ne IP adresom.

Ako nešto ne uspije, mijenjajte jednu varijablu odjednom: klijent, profil, tok autentikacije. Portal koji se učita dok tunel odbija start odvaja problem web servera od problema kompatibilnosti klijenta. Kad radna usluga odgovori i javni put se ponaša očekivano, imate imenovan i podržan aranžman umjesto hrpe nagađanja.