Jak vybrat Mac VPN klienta pro bránu, kterou už máte

Na stránce ke stažení se objeví šest Mac VPN aplikací a žádná neříká, kterou brána vašeho zaměstnavatele přijme. To není mezera v obchodě; je to mezera v předání. Jedna SSL VPN je rodina produktů, ne protokol, takže dvě brány s totožnými přihlašovacími obrazovkami mohou vyžadovat různé klienty. Toto je pořadí, které používám, když mi někdo předá Mac a adresu serveru: zjistěte, čím brána mluví, vyberte klienta, který k tomu pasuje, a potom ověřte trasy a DNS, než tunelu svěříte práci.

Začněte bránou, ne obchodem s aplikacemi

Aplikace běží na vašem Macu, ale spojení musí přijmout a přístup udělit něco jiného: brána s operátorem, adresou, kompatibilním nastavením a způsobem, jak vás autorizovat. Bezplatný klient může být dobrý software a přesto nic z toho nenabízet. Pracovní přístup, domácí brána a komerční internetový výstup jsou tři různé startovní body, které náhodou sdílejí jednu stránku ke stažení.

Než něco nainstalujete nebo nahradíte, získejte čtyři odpovědi od toho, kdo službu provozuje:

• Režim přístupu: portál v prohlížeči, přístup k vybraným aplikacím nebo plný síťový tunel. To rozhoduje, zda klienta vůbec potřebujete.

• Rodina brány a podporované vydání: produkt, zapnutá služba a verze klienta, která ještě podporuje vaše sestavení macOS a hardware Macu.

• Autentizace: heslo plus MFA, přihlášení v prohlížeči, certifikát zařízení nebo kontrola stavu zařízení. Klient bez schváleného toku se připojí a potom bude odmítnut.

• Vlastnictví: důvěryhodný zdroj stažení nebo správy, zamýšlený profil a kdo jej podporuje, když se rozbije.

Vlastnictví je položka, kterou lidé přeskakují. Na spravovaném Macu profil často přichází přes systém správy organizace a ručně vytvořená konfigurace může být při další kontrole nahrazena. Zeptejte se, zda se od vás očekává, že něco nainstalujete sami, než začnete hledat aplikaci třetí strany.

SSL VPN je označení rodiny, ne protokol

TLS může chránit spojení, zatímco výměna specifická pro produkt uvnitř něj řeší přihlášení, přidělování relací a provoz tunelu. Právě tuto vnitřní výměnu musí klient implementovat. Prohlížeč, který dosáhne HTTPS přihlašovací stránky brány, dokazuje řetěz certifikátů a webový server; nedokazuje, že nesouvisející VPN aplikace umí postavit tunel ke stejnému stroji.

OpenConnect je nejjasnější příklad, který znám. Jeho dokumentace projektu uvádí samostatné protokolové režimy pro různé rodiny bran a odděluje interoperabilitu od oficiální podpory výrobce. Kdyby každá SSL VPN mluvila jedním protokolem, tyto režimy by byly zbytečné.

Profil OpenVPN má stejné omezení opačným směrem: je to importní formát pro nasazení kompatibilní s OpenVPN. Sdílený TLS jako stavební blok z něj nedělá konfigurační soubor pro libovolnou podnikovou bránu. Proto je fungující přihlášení v prohlížeči falešně pozitivní: přístup na portál může uspět, i když tunel neexistuje, a tunel, který se zvedne, může být později odmítnut kontrolou stavu zařízení.

Slaďte klienta s tím, čím brána mluví

Jakmile je rodina známá, volba se rychle zužuje. Toto je mapování, které kontroluji první, a poslední sloupec je důležitější než jakékoli hodnocení aplikace.

Dva řádky si zaslouží varování. Vestavěný klient macOS je skutečná implementace IKEv2, ne obecný SSL VPN klient: služba pro něj navržená potřebuje správný profil, očekávanou identitu serveru a přihlašovací údaje a na spravovaném stroji může být tento profil uzamčen. OpenConnect pokrývá několik protokolů výrobců z jednoho binárního souboru, ale jeho vlastní projekt si podporu výrobce nenárokuje; skenování hostitele, pravidla rozděleného tunelu tlačená branou nebo konkrétní tok SSO mohou existovat jen v klientu výrobce.

WireGuard má stejný tvar. Služba dodává protějšky, klient dodává tunel a profil OpenVPN není náhrada. Jeden detail macOS: klient z App Store drží své tunely uvnitř síťového rozšíření, takže wg show z nástrojů Homebrew nemusí nic hlásit, dokud je rozhraní aktivní. Ověřujte raději trasami a provozem.

Nakonfigurujte, potom ověřte v pevném pořadí

Nainstalujte jednoho klienta a jeden profil a poznamenejte si, co jste změnili. Před připojením si pořiďte výchozí stav, abyste poznali, co tunel mění:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Připojte se s dodaným profilem a zopakujte stejné příkazy. U plného tunelu má výchozí trasa ukazovat na rozhraní utun; při rozděleném tunelu se směrují jen vnitřní prefixy a váš veřejný výstup má vypadat nezměněně. DNS je polovina, která obvykle zůstane rozbitá: scutil --dns vypisuje překladače v pořadí, v jakém je systém použije, a vnitřní překladač pod veřejným pošle vnitřní jména na špatný server.

Pro službu OpenVPN je Tunnelblick rozumný bezplatný klient a jeho vlastní příručka je přímá ohledně chybějící poloviny: neposkytuje VPN službu. Dvakrát klikněte na .ovpn, který jste dostali, nechte Tunnelblick nainstalovat a ověřte vydání proti své verzi macOS, než na něj spolehnete.

Pro bránu výrobce často testuji OpenConnect z příkazové řádky:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Nástroj vypíše přijatý certifikát a čeká, než uvěří neznámému řetězu; tento dotaz je vlastnost a připnutí přes --servercert pin-sha256:... je lepší než přijmout varování, které jste nečetli. Ctrl-C tunel přeruší, protože openconnect v popředí nemá ani nouzový vypínač, ani logiku opětovného připojení. To je dobré pro diagnostickou relaci a špatné výchozí nastavení pro každodenní práci.

Když není brána, se kterou by se dalo sladit

Někteří přicházejí s opačným problémem: žádný operátor, žádná adresa, žádná služba. Bezplatná Mac aplikace neumí vytvořit příchozí dostupnost na domácím routeru. Pokud chcete vlastní síť z hotelu, někdo musí provozovat bránu doma, udržovat ji aktualizovanou, publikovat nebo překládat její adresu a rozhodnout, která zařízení jsou dostupná.

Pokud chcete jiný internetový výstup místo přístupu k privátní síti, vyberte službu před klientem. Prázdný seznam profilů v samostatném klientu často není rozbité bezplatné předplatné; možná není žádné předplatné ani připojený server. Držte náklady oddělené: licence klienta, plán služby a vlastní brána jsou tři různé nákupy.

Pracovní Mac přidává vrstvu zásad. Bezplatná aplikace může být špatná, i když se připojí, protože schválený klient může vyžadovat kontroly zařízení nebo tok autentizace, který alternativa nemá. Žádejte schválenou alternativu místo kopírování přihlašovacích údajů mezi nesouvisejícími aplikacemi a nevypínání ochran platformy nepovažujte za opravu kompatibility.

Prohlížeč vzdálené plochy je také jiný produkt. Ukazuje vám relaci na jiném počítači; nedává místním aplikacím vašeho Macu síťovou cestu, kterou poskytuje tunel.

Krátký kontrolní seznam před první skutečnou relací

Pojmenujte písemně rodinu brány a režim přístupu, nainstalujte jen klienta, který k nim pasuje, a zaznamenejte použitý profil. Potom potvrďte tři věci skutečným provozem: trasy, které tunel nainstaloval, pořadí překladačů a jednu vnitřní aplikaci dosaženou jménem, ne IP adresou.

Pokud něco selže, měňte jednu proměnnou najednou: klient, profil, tok autentizace. Portál, který se načte, zatímco tunel odmítá start, odděluje problém webového serveru od problému kompatibility klienta. Když pracovní služba odpoví a veřejná cesta se chová očekávaně, máte pojmenované a podporované uspořádání místo hromady dohadů.