Configuració de VPN al Mac: trieu el client que encaixa amb el vostre perfil

Configureu el client que us indica l’operador de VPN i després demostreu el túnel amb el recurs privat que realment necessiteu. Un Mac pot tenir una configuració VPN nativa a Configuració del Sistema, però un fitxer OpenVPN o WireGuard necessita programari que entengui el format, i són camins de configuració diferents. El tipus de credencial decideix com fallarà l’inici de sessió, així que llegiu-lo abans d’escriure res. Jutgeu el resultat pel que retorna el recurs privat, no per la icona de la barra de menús.

Feu encaixar el client amb el perfil que heu rebut

Comenceu pel fitxer o les instruccions que us ha enviat l’operador, no per una llista de protocols d’un lloc de descàrregues. El formulari VPN natiu de Configuració del Sistema gestiona tipus concrets; un perfil OpenVPN o una configuració WireGuard necessita una aplicació que els analitzi. Un Mac gestionat pot rebre ja la connexió de la gestió de dispositius, i afegir-hi un segon perfil a sobre produeix un conflicte en lloc d’una configuració. Mireu què ja existeix abans d’instal·lar res.

El mètode d’inici de sessió ve del perfil i normalment és un de tres: una contrasenya de compte, un certificat de client o una frase de pas que desbloqueja una clau privada. Una contrasenya incorrecta i un certificat rebutjat aturen tots dos la connexió, però no es llegeixen igual, i només un d’ells es cura restablint la contrasenya del compte. Llegiu el rebuig abans de canviar res: un certificat caducat o no fiable continua fallant després de restablir la contrasenya, mentre que una contrasenya dolenta falla de seguida, al primer intent.

Manteniu el material privat fora dels registres compartits. La frase de pas d’una clau, un certificat de client i la seva clau no pertanyen a un fil de xat amb un company, i una captura de pantalla de l’editor de perfils acostuma a revelar més del que espera qui l’envia. Si l’operador facilita un fitxer importable, importeu-lo en lloc de reescriure els valors a mà.

Demostreu que funciona al recurs, no a la icona

Un perfil de feina sovint només encamina destinacions d’oficina, així que l’adreça pública que veieu mentre navegueu pot quedar igual mentre l’aplicació privada funciona. En un perfil de sortida personal l’adreça que veieu des de fora ha de canviar, i en un perfil de feina normalment no. Mesureu aquesta diferència abans de concloure que el túnel està trencat.

Després obriu el recurs que realment necessiteu: la compartició de fitxers, la pàgina d’administració, l’amfitrió de la base de dades. Que una pàgina d’inici es carregui pel túnel demostra que el túnel transporta alguna cosa, no que transporti el trànsit que volíeu. Si el navegador encara mostra l’adreça original quan el perfil l’hauria de canviar, compareu tres coses: l’aplicació en ús, la família d’adreces i la política de servidor intermediari. Un servidor intermediari del navegador o una ruta IPv6 poden desviar el trànsit fora de la VPN mentre el túnel és sa.

On el client exposa una taula d’encaminament, llegiu la ruta per defecte i la ruta del túnel. Aquesta parella enregistra quin disseny heu desplegat realment.

Quan deixa de funcionar, trobeu la capa que s’ha trencat

Una configuració que abans funcionava normalment s’ha trencat perquè alguna cosa s’ha afegit al camí: un segon client VPN, un agent de seguretat, un filtre de contingut, una extensió de xarxa nova. Feu servir els diagnòstics propis del producte en lloc d’esborrar preferències o restablir la pila de xarxa, que és una esperança i no un diagnòstic. Relacioneu la fallada amb un esdeveniment —repòs, un canvi de Wi-Fi, un inici de sessió al portal o una actualització del client— i anoteu si es repeteix. Un desencadenant repetible ha de constar a l’incident amb l’hora en què va passar.

Els noms fallen de manera diferent de les rutes. Cal arribar a un amfitrió privat pel seu nom complet documentat, i els noms curts d’oficina depenen d’un resolutor intern més un domini de cerca que només existeix al camí corporatiu. Canvieu aquest resolutor per un servei DNS públic i els noms curts deixen de resoldre’s del tot, cosa que sembla un túnel trencat però no ho és.

scutil --dns
dscacheutil -q host -a name intranet.example.com

A la sortida de scutil --dns, trobeu el resolutor el domini de cerca del qual coincideix amb el vostre domini corporatiu i llegiu el servidor de noms al qual apunta; les entrades llistades a la configuració DNS mostren quin resolutor proporciona cada interfície. Quan el resolutor corporatiu només apareix per a una altra interfície, o el navegador executa un DNS xifrat propi, una aplicació resol el nom mentre tota la resta falla.

Traieu un perfil que ja no necessiteu pel mecanisme que el va instal·lar, perquè esborrar una entrada local deixa el compte del servidor viu i un client antic encara pot reclamar les mateixes rutes. En un Mac gestionat, el procés de retirada de l’administrador és el que compta. Anoteu el nom del perfil, l’adreça del servidor i el recurs que funciona abans de treure res, perquè la recuperació no comenci de zero.