Nastavení VPN na Macu: vyberte klienta, který odpovídá vašemu profilu

Nastavte klienta, kterého uvádí váš operátor VPN, a potom dokažte tunel soukromým prostředkem, který skutečně potřebujete. Mac umí držet nativní konfiguraci VPN v Nastavení systému, ale soubor OpenVPN nebo WireGuard potřebuje software, který formátu rozumí, a to jsou různé cesty nastavení. Typ přihlašovacích údajů určuje, jak přihlášení selže, tak si ho přečtěte, než něco napíšete. Výsledek posuzujte podle toho, co vrací soukromý prostředek, ne podle ikony v řádku nabídky.

Slaďte klienta s profilem, který jste dostali

Začněte souborem nebo pokyny, které poslal váš operátor, ne seznamem protokolů na stahovacím webu. Nativní formulář VPN v Nastavení systému zvládá určité typy; profil OpenVPN nebo konfigurace WireGuard potřebuje aplikaci, která je zpracuje. Spravovaný Mac může už dostávat připojení ze správy zařízení a přidání druhého profilu navrch vytvoří konflikt místo nastavení. Podívejte se, co už existuje, než něco nainstalujete.

Způsob přihlášení vychází z profilu a obvykle je jeden ze tří: heslo k účtu, klientský certifikát nebo přístupová fráze, která odemyká soukromý klíč. Špatné heslo i odmítnutý certifikát zastaví připojení, ale nečtou se stejně a jen jedno z nich se léčí resetem hesla k účtu. Přečtěte si odmítnutí, než něco změníte: prošlý nebo nedůvěryhodný certifikát selže i po resetu hesla, zatímco špatné heslo selže hned, na první pokus.

Držte soukromý materiál mimo sdílené záznamy. Přístupová fráze ke klíči, klientský certifikát a jeho klíč nepatří do chatovacího vlákna s kolegou a snímek obrazovky editoru profilu obvykle prozradí víc, než odesílatel čeká. Pokud operátor dodá importovatelný soubor, importujte ho místo ručního přepisování hodnot.

Dokažte, že to funguje na prostředku, ne na ikoně

Pracovní profil často směruje jen kancelářské cíle, takže veřejná adresa, kterou vidíte při prohlížení, může zůstat stejná, zatímco soukromá aplikace funguje. Na osobním výstupním profilu se adresa, kterou vidíte zvenčí, musí změnit, a na pracovním obvykle nesmí. Změřte ten rozdíl, než usoudíte, že je tunel rozbitý.

Pak otevřete prostředek, který skutečně potřebujete: sdílení souborů, administrační stránku, hostitele databáze. Načtení domovské stránky přes tunel dokazuje, že tunel nese nějaký provoz, ne že nese provoz, který jste zamýšleli. Pokud prohlížeč stále ukazuje původní adresu, když ji má profil změnit, porovnejte tři věci: použitou aplikaci, rodinu adres a politiku proxy. Proxy prohlížeče nebo cesta přes IPv6 může odvést provoz mimo VPN, zatímco tunel sám je zdravý.

Kde klient zobrazuje směrovací tabulku, přečtěte výchozí trasu a trasu tunelu. Ta dvojice zaznamenává, jaký návrh jste skutečně nasadili.

Když přestane fungovat, najděte vrstvu, která se rozbila

Nastavení, které dřív fungovalo, se obvykle rozbilo proto, že se k cestě přidalo něco dalšího: druhý klient VPN, bezpečnostní agent, filtr obsahu, nové síťové rozšíření. Používejte vlastní diagnostiku produktu místo mazání předvoleb nebo resetu síťového zásobníku, což je naděje, ne diagnostika. Přiřaďte selhání k události — spánek, změna Wi-Fi, přihlášení na portál nebo aktualizace klienta — a poznamenejte, zda se opakuje. Opakovatelný spouštěč patří do tiketu spolu s časem, kdy nastal.

Jména selhávají jinak než trasy. K soukromému hostiteli se má přistupovat jeho dokumentovaným plným jménem a krátká kancelářská jména závisí na interním resolveru plus vyhledávací doméně, která existuje jen na firemní cestě. Vyměňte ten resolver za veřejnou službu DNS a krátká jména přestanou úplně přeložit, což vypadá jako rozbitý tunel, ale není.

scutil --dns
dscacheutil -q host -a name intranet.example.com

Ve výstupu scutil --dns najděte resolver, jehož vyhledávací doména odpovídá vaší firemní doméně, a přečtěte jmenný server, na který ukazuje; záznamy uvedené v konfiguraci DNS ukazují, který resolver poskytuje každé rozhraní. Když se firemní resolver objeví jen pro jiné rozhraní, nebo prohlížeč provozuje vlastní šifrované DNS, přeloží jméno jedna aplikace, zatímco všechno ostatní selhává.

Odeberte profil, který už nepotřebujete, mechanismem, který ho nainstaloval, protože smazání místního záznamu ponechá účet na straně serveru živý a zastaralý klient může stále žádat stejné trasy. Na spravovaném Macu platí postup odebrání od správce. Než cokoli odeberete, zapište název profilu, adresu serveru a funkční prostředek, aby obnova nezačínala od nuly.