La configuració de VPN del Mac no inicia cap servidor: on viu la passarel·la

Dues feines diferents porten el nom de VPN al macOS, i el panell de configuració només se n'ocupa d'una. Si voleu que el trànsit d'aquest Mac surti per un proveïdor o una passarel·la remota, una entrada de client és tot el que necessiteu. Si voleu arribar a la impressora, al NAS o a una pàgina d'administració de la vostra xarxa domèstica des d'una habitació d'hotel, llavors alguna cosa d'aquella xarxa ha d'acceptar connexions de fora, i un Mac actual no és aquesta cosa de sèrie. Tres preguntes decideixen en quin cas esteu, i val la pena respondre-les abans d'escriure una adreça en un camp.

Una entrada de client anomena una destinació, no un oient

A Configuració del Sistema > Xarxa > VPN al macOS Ventura i posteriors, els camps que les versions anteriors guarden a Preferències de xarxa descriuen com arribar a l'extrem d'una altra persona: una adreça de servidor, un ID remot, un compte o certificat, i regles opcionals de connexió a demanda. Desar aquesta entrada emmagatzema una connexió a la configuració de xarxa del vostre Mac. Res del procés no lliga cap port, no obre cap oient ni inscriu cap usuari remot.

Ho podeu comprovar des del terminal. En un Mac que sospiteu que serveix, executeu sudo lsof -nP -iUDP i busqueu els ports que fa servir el vostre protocol: 500 i 4500 per a IKEv2, 1194 per al valor per defecte d'OpenVPN, 51820 per a WireGuard. Una màquina només client mostra sòcols aparellats amb una adreça i un port remots, no una vinculació comodí a la qual pugui arribar qualsevol cosa d'Internet. Els túnels que s'executen dins d'una Network Extension poden amagar-se de lsof, així que compareu igualment el panell d'estat de la pròpia aplicació; el que no trobareu és una preferència d'Apple que converteixi aquest Mac en la passarel·la.

Tres preguntes separen els dos papers

Mireu-les per ordre. La primera normalment decideix la resta, i la tercera és on la majoria de la planificació específica del Mac falla.

1. Qui comença la conversa? Si el vostre Mac marca cap a fora i l'altre costat respon, necessiteu un client. Si els dispositius d'Internet han de marcar cap a dins per arribar a la vostra xarxa, necessiteu una passarel·la amb un punt d'entrada públic, i el Mac pot continuar sent client d'aquella passarel·la.

2. Què ha de ser abastable mentre el túnel és actiu? Un servei en un amfitrió és una decisió de reenviament de port. Una subxarxa sencera, amb la resolució de noms inclosa, és una decisió d'encaminament i DNS, i canvia què ha de reenviar la passarel·la, no què diu l'entrada de client.

3. Quina versió del sistema operatiu executa l'extrem que accepta? Per als Mac, aquesta pregunta té una resposta dura. Apple llista la VPN com a eliminada del macOS Server 5.7.1, i l'aplicació macOS Server es va descatalogar el 21 d'abril de 2022; la pàgina que cal llegir quan un tutorial antic us porta per una casella de servei de VPN que ja no existeix és l'avís d'historial del servei.

Quan la primera resposta és “algú de fora inicia”, deixeu de buscar un interruptor al panell de client del Mac i trieu l'amfitrió que acabarà el túnel.

On pot viure la passarel·la en lloc d'això

Quatre disposicions cobreixen la majoria de casos domèstics i d'oficina petita. Un encaminador amb un mode servidor autèntic, en contrast amb un mode client amb una etiqueta diferent, acaba el túnel a la vora i manté baix el nombre d'amfitrions, a canvi d'estar lligat al suport de protocols d'aquell firmware. Un NAS o un mini PC sempre engegat executa el paquet de servidor del fabricant i us deixa registres que podeu llegir. Una VM petita al núvol us dona una adreça pública que controleu i arriba a casa per un segon túnel. Una xarxa de malla construïda sobre WireGuard, o un servei gestionat que retransmet entre parells, evita el reenviament de ports entrants fent que tots dos extrems marquin cap a fora.

La frontera entre aquestes opcions sol ser la vostra connexió a Internet, no el programari. Si el proveïdor us posa darrere d'un NAT de nivell d'operador, cap quantitat de reenviament de ports a l'encaminador no produeix un punt d'entrada abastable, i la resposta honesta és una disposició amb relé o malla. Compareu l'adreça WAN que informa el vostre encaminador amb l'adreça que veu el món exterior; si difereixen i el valor de l'encaminador cau en un rang privat o compartit, planifiqueu el cas del relé.

Sigui quin sigui l'amfitrió que trieu, reenvieu un protocol en un port en lloc d'un rang, i manteniu el Mac fora del camí d'entrada tret que aquest producte concret documenti un paper de servidor per a la versió de macOS que executeu.

Confirmeu el paper abans de repartir perfils

A la passarel·la candidata, demostreu que existeix un oient en lloc de confiar que l'instal·lador n'hagi creat un. Al macOS això vol dir sudo lsof -nP -iUDP filtrat als ports anteriors, més sudo pfctl -s nat si les regles del filtre de paquets formen part del disseny. A Linux, ss -lunp mostra els mateixos fets sense ambigüitat.

Després proveu des de fora de la xarxa, amb el protocol mateix. El ping demostra poc: l'ICMP se sol filtrar i no diu res de l'UDP 51820. Un handshake de client amb registre detallat, executat des d'un telèfon amb dades mòbils, és la prova real més barata perquè creua el mateix camí que creuarà un col·lega remot.

Només després toqueu els perfils de client. Al Mac, scutil --nc list imprimeix els serveis VPN que el sistema coneix; si la passarel·la que acabeu de construir no hi és, esteu configurant una màquina diferent de la que vau provar. Si el handshake funciona a la LAN però falla des de fora, la culpa és al camí d'entrada: regla NAT, CGNAT del proveïdor o tallafoc a la passarel·la, en aquest ordre.

Abans de construir res, decidiu quatre punts:

• Quin costat inicia la connexió, el vostre Mac o un dispositiu remot.
• Si la versió del sistema operatiu i el producte de l'amfitrió que accepta realment admeten un paper de servidor.
• Si el vostre proveïdor us dona alguna adreça pública abastable.
• Quin únic port i protocol acceptarà la passarel·la, i quin servei darrere respon.

El següent pas és concret: trieu l'amfitrió de la passarel·la, confirmeu-ne l'oient des de fora i només llavors creeu l'entrada de client al Mac que hi apunta.