Sut i ddewis cleient Mac VPN ar gyfer y porth sydd gennych yn barod

Mae chwe ap Mac VPN yn ymddangos ar dudalen lawrlwytho ac nid oes yr un yn dweud pa un y bydd porth eich cyflogwr yn ei dderbyn. Nid bwlch yn y siop yw hyn; bwlch yn y trosglwyddiad yw e. Mae SSL VPN yn deulu o gynhyrchion, nid yn brotocol, felly gall dau borth â sgriniau mewngofnodi unfath fod angen cleientiaid gwahanol. Dyma'r drefn a ddefnyddiaf pan fydd rhywun yn rhoi Mac a chyfeiriad gweinydd i mi: sefydlu beth mae'r porth yn ei siarad, dewis y cleient sy'n cyd-fynd ag ef, yna gwirio llwybrau a DNS cyn ymddiried gwaith i'r tiwnel.

Dechreuwch gyda'r porth, nid y siop apiau

Mae'r ap yn rhedeg ar eich Mac, ond rhaid i rywbeth arall dderbyn y cysylltiad a rhoi mynediad: porth ag gweithredydd, cyfeiriad, gosodiadau cydnaws a ffordd i'ch awdurdodi. Gall cleient am ddim fod yn feddalwedd dda ac eto beidio â chynnig dim o'r rhain. Mae mynediad gwaith, porth cartref ac allanfa fasnachol i'r rhyngrwyd yn dri man cychwyn gwahanol sy'n rhannu un dudalen lawrlwytho.

Cyn gosod na disodli unrhyw beth, ceir pedwar ateb gan bwy bynnag sy'n rhedeg y gwasanaeth:

• Modd mynediad: porth porwr, mynediad i apiau dethol neu diwnel rhwydwaith llawn. Mae hyn yn penderfynu a oes angen cleient arnoch o gwbl.

• Teulu'r porth a'r fersiwn a gefnogir: y cynnyrch, y gwasanaeth gweithredol a fersiwn cleient sy'n dal i gefnogi eich adeiladwaith macOS a'ch caledwedd Mac.

• Dilysu: cyfrinair ynghyd â MFA, mewngofnodi trwy borwr, tystysgrif dyfais neu wiriad osgo. Bydd cleient heb y llif cymeradwy yn cysylltu ac yna'n cael ei wrthod.

• Perchnogaeth: y ffynhonnell lawrlwytho neu reoli ddibynadwy, y proffil a fwriadwyd a phwy sy'n ei gefnogi pan fydd yn torri.

Perchnogaeth yw'r eitem y mae pobl yn ei hepgor. Ar Mac a reolir, mae'r proffil yn aml yn dod trwy system reoli'r sefydliad, a gellir disodli cyfluniad a wnaed â llaw yn y gwiriad nesaf. Gofynnwch a oes disgwyl i chi osod unrhyw beth eich hun cyn chwilio am ap trydydd parti.

Label teulu yw SSL VPN, nid protocol

Gall TLS amddiffyn cysylltiad tra bo cyfnewid sy'n benodol i'r cynnyrch y tu mewn yn trin mewngofnodi, dyrannu sesiynau a thraffig y tiwnel. Y cyfnewid mewnol hwnnw yw'r hyn y mae'n rhaid i gleient ei weithredu. Mae porwr yn cyrraedd tudalen fewngofnodi HTTPS y porth yn profi'r gadwyn dystysgrifau a'r gweinydd gwe; nid yw'n profi y gall ap VPN anghysylltiedig adeiladu tiwnel i'r un peiriant.

OpenConnect yw'r enghraifft gliriaf a wn i. Mae ei ddeunydd dogfennaeth yn rhestru moddau protocol ar wahân ar gyfer teuluoedd porth gwahanol ac yn gwahanu rhyngweithredu oddi wrth gefnogaeth swyddogol y gwerthwr. Pe bai pob SSL VPN yn siarad un protocol, byddai'r moddau hynny'n ddiangen.

Mae gan broffil OpenVPN yr un cyfyngiad i'r gwrthwyneb: fformat mewnforio ar gyfer defnydd cydnaws ag OpenVPN yw e. Nid yw rhannu TLS fel bloc adeiladu yn ei droi'n ffeil gyfluniad ar gyfer porth menter mympwyol. Dyna pam mae mewngofnodi porwr sy'n gweithio yn gam cadarnhaol ffug: gall mynediad i'r porth lwyddo tra nad oes tiwnel, a gall tiwnel sy'n codi gael ei wrthod yn ddiweddarach gan wiriad osgo.

Cyfatebwch y cleient i'r hyn mae'r porth yn ei siarad

Unwaith y gwyddys y teulu, mae'r dewis yn culhau'n gyflym. Dyma'r mapio a wiriaf gyntaf, ac mae'r golofn olaf yn bwysicach nag unrhyw sgôr ap.

Mae dau res yn haeddu rhybudd. Mae cleient macOS cynhenid yn weithrediad IKEv2 go iawn, nid cleient SSL VPN cyffredinol: mae gwasanaeth a gynlluniwyd ar ei gyfer angen y proffil cywir, hunaniaeth gweinydd ddisgwyliedig a chredentials, ac ar beiriant a reolir gall y proffil hwnnw fod wedi'i gloi. Mae OpenConnect yn cwmpasu sawl protocol gwerthwr o un deuaidd, ond nid yw ei brosiect ei hun yn honni cefnogaeth gwerthwr; gall sganio gwesteiwr, rheolau tiwnel rannol a wthir gan y porth neu lif SSO penodol fodoli yng nghleient y gwerthwr yn unig.

Mae gan WireGuard yr un siâp. Mae'r gwasanaeth yn darparu cymarion, y cleient yn darparu'r tiwnel, ac nid yw proffil OpenVPN yn ddirprwy. Un mympwy macOS: mae cleient yr App Store yn cadw ei diwnelau y tu mewn i estyniad rhwydwaith, felly gall wg show o offer Homebrew beidio â dangos dim tra bo'r rhyngwyneb i fyny. Gwirio â llwybrau a thraffig yn lle hynny.

Ffurfweddwch, yna gwiriwch mewn trefn sefydlog

Gosodwch un cleient ac un proffil, a chadwch nodyn o'r hyn a newidiasoch. Cyn cysylltu, cymerwch linell sylfaen fel y gwelwch beth mae'r tiwnel yn ei newid:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Cysylltwch â'r proffil a roddwyd ac ailadroddwch yr un gorchmynion. Ar gyfer tiwnel llawn dylai'r llwybr rhagosodedig bwyntio at ryngwyneb utun; gyda thiwnel rannol dim ond y rhagddodiaid mewnol ddylai gael eu llwybro a dylai eich allanfa gyhoeddus edrych yn ddigyfnewid. DNS yw'r hanner sy'n aml yn aros yn doredig: mae scutil --dns yn rhestru datryswyr yn y drefn y bydd y system yn eu defnyddio, a bydd datryswr mewnol o dan un cyhoeddus yn anfon enwau mewnol i'r gweinydd anghywir.

Ar gyfer gwasanaeth OpenVPN, mae Tunnelblick yn gleient rhesymol yn rhad ac am ddim, ac mae ei ganllaw ei hun yn blaen am y rhan sydd ar goll: nid yw'n darparu gwasanaeth VPN. Cliciwch ddwywaith ar y .ovpn a roddwyd i chi, gadewch i Tunnelblick ei osod, a gwiriwch y fersiwn yn erbyn eich fersiwn macOS cyn dibynnu arno.

Ar gyfer porth gwerthwr byddaf yn aml yn profi gydag OpenConnect o'r llinell orchymyn:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Mae'r offeryn yn argraffu'r dystysgrif a dderbyniodd ac yn aros cyn ymddiried mewn cadwyn anhysbys; mae'r anogwr hwnnw'n nodwedd, ac mae pinio gyda --servercert pin-sha256:... yn well na derbyn rhybudd na wnaethoch ei ddarllen. Mae Ctrl-C yn rhwygo'r tiwnel, oherwydd nid oes gan openconnect yn y blaendir switsh lladd na rhesymeg ailgysylltu. Mae hynny'n iawn ar gyfer sesiwn ddiagnostig ac yn ddewis rhagosodedig gwael ar gyfer gwaith bob dydd.

Pan nad oes porth i'w gyfateb

Daw rhai â'r broblem arall: dim gweithredydd, dim cyfeiriad, dim gwasanaeth. Ni all ap Mac am ddim greu cyrhaeddiad i mewn ar lwybrydd cartref. Os ydych am eich rhwydwaith eich hun o westy, rhaid i rywun redeg porth gartref, ei gadw'n gyfredol, cyhoeddi neu ddatrys ei gyfeiriad a phenderfynu pa ddyfeisiau sy'n gyrraeddadwy.

Os ydych am allanfa ryngrwyd wahanol yn lle mynediad i rwydwaith preifat, dewiswch y gwasanaeth cyn y cleient. Yn aml nid yw rhestr proffilau wag mewn cleient annibynnol yn danysgrifiad am ddim wedi torri; efallai nad oes tanysgrifiad na gweinydd ynghlwm. Cadwch y costau ar wahân hefyd: mae trwydded cleient, cynllun gwasanaeth a phorth a weithredir gennych chi'n dri phryniad gwahanol.

Mae Mac gwaith yn ychwanegu haen polisi. Gall ap di-dâl fod yn anghywir hyd yn oed pan fydd yn cysylltu, oherwydd gall y cleient cymeradwy orfodi gwiriadau dyfais neu lif dilysu nad yw'r dewis arall yn ei gael. Gofynnwch am ddewis arall cymeradwy yn lle copïo credentials rhwng apiau anghysylltiedig, a pheidiwch â thrin analluogi amddiffynfeydd y platfform fel atgyweiriad cydnawsedd.

Mae gwyliwr bwrdd gwaith o bell yn gynnyrch gwahanol hefyd. Mae'n dangos sesiwn ar gyfrifiadur arall i chi; nid yw'n rhoi i apiau lleol eich Mac y llwybr rhwydwaith y mae tiwnel yn ei ddarparu.

Rhestr wirio fer cyn y sesiwn go iawn gyntaf

Enwch deulu'r porth a'r modd mynediad yn ysgrifenedig, gosodwch yn unig y cleient sy'n cyfateb iddynt, a chofnodwch y proffil a ddefnyddiwyd gennych. Yna cadarnhewch dri pheth gyda thraffig go iawn: y llwybrau a osododd y tiwnel, trefn y datryswyr, ac un ap mewnol a gyrhaeddir wrth ei enw yn hytrach nag wrth IP.

Os bydd rhywbeth yn methu, newidiwch un newidyn ar y tro: cleient, proffil, llif dilysu. Mae porth sy'n llwytho tra bod y tiwnel yn gwrthod dechrau yn gwahanu problem gweinydd gwe oddi wrth broblem cydnawsedd cleient. Unwaith y bydd y gwasanaeth gwaith yn ateb a'r llwybr cyhoeddus yn ymddwyn fel y disgwylid, mae gennych drefniant a enwir ac a gefnogir yn lle pentwr o ddyfaliadau.