Com triar un client VPN per a Mac per a la passarel·la que ja teniu

Sis aplicacions VPN per a Mac apareixen en una pàgina de descàrrega i cap diu quina acceptarà la passarel·la de la vostra empresa. No és un buit a la botiga; és un buit en el traspàs. Una VPN SSL és una família de productes, no un protocol, així que dues passarel·les amb pantalles d'inici idèntiques poden requerir clients diferents. Aquest és l'ordre que faig servir quan algú em dona un Mac i una adreça de servidor: establir què parla la passarel·la, triar el client que hi encaixa i després verificar rutes i DNS abans de confiar-hi la feina.

Comença per la passarel·la, no per la botiga d'aplicacions

L'aplicació s'executa al vostre Mac, però una altra cosa ha d'acceptar la connexió i concedir accés: una passarel·la amb operador, adreça, paràmetres compatibles i una manera d'autoritzar-vos. Un client gratuït pot ser bon programari i no oferir res d'això. L'accés laboral, una passarel·la domèstica i una sortida comercial a internet són tres punts de partida diferents que casualment comparteixen una pàgina de descàrrega.

Abans d'instal·lar o substituir res, obteniu quatre respostes de qui gestiona el servei:

• Mode d'accés: portal al navegador, accés a aplicacions seleccionades o túnel de xarxa complet. Això decideix si necessiteu un client.

• Família de passarel·la i versió admesa: el producte, el servei habilitat i una versió de client que encara admeti la vostra compilació de macOS i el maquinari del Mac.

• Autenticació: contrasenya més MFA, inici de sessió al navegador, certificat de dispositiu o comprovació de postura. Un client sense el flux aprovat es connectarà i després serà rebutjat.

• Propietat: la font de descàrrega o gestió de confiança, el perfil previst i qui el dona suport quan falla.

La propietat és el punt que la gent salta. En un Mac gestionat, el perfil sovint arriba pel sistema de gestió de l'organització, i una configuració feta a mà pot ser substituïda en la propera comprovació. Pregunteu si s'espera que instal·leu alguna cosa vosaltres mateixos abans de buscar una aplicació de tercers.

VPN SSL és una etiqueta de família, no un protocol

TLS pot protegir una connexió mentre un intercanvi específic del producte a dins gestiona l'inici de sessió, l'assignació de sessions i el trànsit del túnel. Aquest intercanvi intern és el que un client ha d'implementar. Un navegador que arriba a la pàgina d'inici HTTPS de la passarel·la demostra la cadena de certificats i el servidor web; no demostra que una aplicació VPN no relacionada pugui construir un túnel cap a la mateixa màquina.

OpenConnect n'és l'exemple més clar que conec. La seva documentació d'origen llista modes de protocol separats per a famílies de passarel·la diferents i separa la interoperabilitat del suport oficial del fabricant. Si totes les VPN SSL parlessin un sol protocol, aquests modes serien innecessaris.

Un perfil OpenVPN té la mateixa limitació a l'inrevés: és un format d'importació per a un desplegament compatible amb OpenVPN. Compartir TLS com a bloc de construcció no el converteix en un fitxer de configuració per a una passarel·la empresarial arbitrària. Per això un inici de sessió al navegador que funciona és un fals positiu: l'accés al portal pot reeixir mentre no hi ha túnel, i un túnel aixecat encara pot ser refusat després per una comprovació de postura.

Feu coincidir el client amb el que parla la passarel·la

Un cop es coneix la família, l'elecció s'estreny de pressa. Aquest és el mapatge que comprovo primer, i l'última columna importa més que qualsevol valoració d'aplicació.

Dues files mereixen un avís. El client integrat del macOS és una implementació real d'IKEv2, no un client SSL VPN genèric: un servei dissenyat per a ell necessita el perfil correcte, la identitat de servidor esperada i credencials, i en una màquina gestionada aquest perfil pot estar bloquejat. OpenConnect cobreix diversos protocols de fabricant amb un sol binari, però el seu propi projecte no reclama suport del fabricant; l'escaneig d'amfitrió, les regles de túnel dividit enviades per la passarel·la o un flux SSO concret poden existir només al client del fabricant.

WireGuard té la mateixa forma. El servei forneix parells, el client forneix el túnel, i un perfil OpenVPN no és un substitut. Un detall del macOS: el client de l'App Store guarda els túnels dins d'una extensió de xarxa, així que wg show de les eines de Homebrew pot no mostrar res mentre la interfície és activa. Verifiqueu-ho amb rutes i trànsit.

Configureu i després verifiqueu en un ordre fix

Instal·leu un client i un perfil, i anoteu què heu canviat. Abans de connectar, captureu una línia base per saber què altera el túnel:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Connecteu-vos amb el perfil subministrat i repetiu les mateixes ordres. En un túnel complet la ruta per defecte ha d'apuntar a una interfície utun; amb túnel dividit només s'han d'encaminar els prefixos interns i la vostra sortida pública ha de semblar igual. El DNS és la meitat que sol quedar trencada: scutil --dns llista els resolvers en l'ordre en què el sistema els usarà, i un resolver intern per sota d'un de públic enviarà els noms interns al servidor equivocat.

Per a un servei OpenVPN, Tunnelblick és un client raonable sense cost, i la seva pròpia guia és directa sobre la meitat que falta: no forneix cap servei VPN. Feu doble clic al .ovpn que us han donat, deixeu que Tunnelblick l'instal·li i comproveu la versió contra la vostra versió de macOS abans de confiar-hi.

Per a una passarel·la de fabricant sovint provo amb OpenConnect des de la línia d'ordres:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

L'eina imprimeix el certificat que ha rebut i espera abans de confiar en una cadena desconeguda; aquest avís és una característica, i fixar amb --servercert pin-sha256:... és millor que acceptar un avís que no heu llegit. Ctrl-C trenca el túnel, perquè un openconnect en primer pla no té ni tallafoc d'emergència ni lògica de reconnexió. Això va bé per a una sessió de diagnòstic i és un mal valor per defecte per a la feina diària.

Quan no hi ha cap passarel·la amb què coincidir

Algunes persones arriben amb el problema oposat: sense operador, sense adreça, sense servei. Una aplicació gratuïta per a Mac no pot crear accessibilitat entrant en un encaminador domèstic. Si voleu la vostra pròpia xarxa des d'un hotel, algú ha de mantenir una passarel·la a casa, mantenir-la actualitzada, publicar o resoldre'n l'adreça i decidir quins dispositius són accessibles.

Si voleu una sortida a internet diferent en lloc d'accés a una xarxa privada, trieu el servei abans que el client. Una llista de perfils buida en un client autònom sovint no és una subscripció gratuïta trencada; potser no hi ha subscripció ni servidor connectat. Manteniu els costos separats: una llicència de client, un pla de servei i una passarel·la autogestionada són tres compres diferents.

Un Mac de feina afegeix una capa de política. Una aplicació gratuïta pot ser incorrecta fins i tot quan es connecta, perquè el client aprovat pot imposar comprovacions del dispositiu o un flux d'autenticació que l'alternativa no té. Demaneu una alternativa aprovada en lloc de copiar credencials entre aplicacions no relacionades, i no tracteu desactivar les proteccions de la plataforma com una solució de compatibilitat.

Un visor d'escriptori remot també és un producte diferent. Us mostra una sessió en un altre ordinador; no dona a les aplicacions locals del vostre Mac el camí de xarxa que forneix un túnel.

Una llista de comprovació breu abans de la primera sessió real

Nameu per escrit la família de passarel·la i el mode d'accés, instal·leu només el client que hi coincideixi i registreu el perfil que heu fet servir. Després confirmeu tres coses amb trànsit real: les rutes que ha instal·lat el túnel, l'ordre dels resolvers i una aplicació interna assolida pel nom i no per IP.

Si alguna cosa falla, canvieu una variable alhora: client, perfil, flux d'autenticació. Un portal que carrega mentre el túnel es nega a arrencar separa un problema de servidor web d'un de compatibilitat del client. Quan el servei de feina respon i el camí públic es comporta com s'esperava, teniu un acord nomenat i amb suport en lloc d'un munt de conjectures.