Nid yw gosodiadau VPN Mac yn cychwyn gweinydd: lle mae'r porth yn byw

Mae dau waith gwahanol yn cario'r enw VPN yn macOS, a dim ond un ohonynt y mae'r paen gosodiadau yn ei drin. Os ydych am i draffig y Mac hwn adael trwy ddarparwr neu borth pell, cofnod cleient yw'r cyfan sydd ei angen arnoch. Os ydych am gyrraedd y printiwr, y NAS neu dudalen weinyddol ar eich rhwydwaith cartref o ystafell gwesty, yna rhaid i rywbeth ar y rhwydwaith hwnnw dderbyn cysylltiadau o'r tu allan, ac nid yw Mac presennol y peth hwnnw allan o'r bocs. Mae tair cwestiwn yn setlo pa achos ydych ynddo, ac maent yn werth eu hateb cyn i chi deipio cyfeiriad i faes.

Mae cofnod cleient yn enwi cyrchfan, nid gwrandäwr

Yn Gosodiadau System > Rhwydwaith > VPN ar macOS Ventura ac yn ddiweddarach, mae'r meysydd y mae rhyddhau hŷn yn eu cadw o dan Hoffterau Rhwydwaith yn disgrifio sut i gyrraedd pen draw rhywun arall: cyfeiriad gweinydd, ID pell, cyfrif neu dystysgrif, a rheolau cysylltu ar alw dewisol. Mae cadw'r cofnod hwnnw yn storio cysylltiad yng nghyfluniad rhwydwaith eich Mac. Nid oes dim yn y broses yn rhwymo porth, yn agor gwrandäwr nac yn cofrestru defnyddiwr pell.

Gallwch wirio hyn o'r plisgyn. Ar Mac yr ydych yn amau ei fod yn gweini, rhedwch sudo lsof -nP -iUDP a chwiliwch am y porthladdoedd y mae eich protocol yn eu defnyddio: 500 a 4500 ar gyfer IKEv2, 1194 ar gyfer rhagosodiad OpenVPN, 51820 ar gyfer WireGuard. Mae peiriant cleient yn unig yn dangos socedi wedi'u paru â chyfeiriad a phorth pell, nid rhwymiad nod chwilio y gallai unrhyw beth ar y rhyngrwyd ei gyrraedd. Gall twneli sy'n rhedeg o fewn Network Extension guddio rhag lsof, felly cymharwch banel statws yr ap ei hun beth bynnag; yr hyn na fyddwch yn dod o hyd iddo yw hoffter Apple sy'n troi'r Mac hwn yn borth.

Mae tair cwestiwn yn gwahanu'r ddau rôl

Ewch trwyddynt mewn trefn. Mae'r gyntaf fel arfer yn penderfynu'r gweddill, a'r drydedd yw lle mae'r rhan fwyaf o gynllunio sy'n benodol i Mac yn mynd o'i le.

1. Pwy sy'n dechrau'r sgwrs? Os yw eich Mac yn galw allan ac mae'r ochr arall yn ateb, mae angen cleient arnoch. Os oes rhaid i ddyfeisiau ar y rhyngrwyd alw i mewn i gyrraedd eich rhwydwaith, mae angen porth â man mynediad cyhoeddus arnoch, a gall y Mac aros yn gleient i'r porth hwnnw.

2. Beth sy'n rhaid bod yn gyrraeddadwy tra mae'r twnnel i fyny? Un gwasanaeth ar un gwesteiwr yw penderfyniad anfon porth. Mae is-rwydwaith gyfan, gan gynnwys datrys enwau, yn benderfyniad llwybro a DNS, ac mae'n newid yr hyn y mae'n rhaid i'r porth ei anfon ymlaen, nid yr hyn y mae'r cofnod cleient yn ei ddweud.

3. Pa ryddhau OS sy'n rhedeg y pen derbyn? I Macs mae gan y cwestiwn hwnnw ateb caled. Mae Apple yn rhestru VPN fel wedi'i dynnu o macOS Server 5.7.1, a rhoddwyd y gorau i ap macOS Server ei hun ar 21 Ebrill 2022; y dudalen i'w darllen pan fydd tiwtorial hen yn eich tywys trwy flwch gwirio gwasanaeth VPN nad yw'n bodoli mwyach yw'r hysbysiad hanes y gwasanaeth.

Pan fo'r ateb cyntaf yn “rhywun o'r tu allan sy'n cychwyn”, peidiwch â chwilio am switsh ym mhaen cleient y Mac, a dewiswch y gwesteiwr a fydd yn terfynu'r twnnel.

Lle gall y porth fyw yn lle hynny

Mae pedwar trefniant yn cwmpasu'r rhan fwyaf o achosion cartref a swyddfa fach. Mae llwybrydd â gwir fodd gweinydd, yn hytrach na modd cleient â label gwahanol, yn terfynu'r twnnel ar yr ymyl ac yn cadw nifer y gwesteiwyr yn isel, ar gost bod yn rhwym wrth gefnogaeth protocol y firmware hwnnw. Mae NAS neu mini PC sy'n rhedeg drwy'r amser yn rhedeg pecyn gweinydd y gwerthwr ac yn gadael logiau y gallwch eu darllen. Mae VM cwmwl bach yn rhoi cyfeiriad cyhoeddus yr ydych yn ei reoli ac yn cyrraedd adref trwy ail dwnnel. Mae rhwydwaith mesh wedi'i adeiladu ar WireGuard, neu wasanaeth a reolir sy'n cyfnewid rhwng cymheiriaid, yn osgoi anfon porthladdoedd i mewn trwy wneud i'r ddau ben alw allan.

Eich cysylltiad rhyngrwyd, nid y meddalwedd, yw'r ffin rhwng yr opsiynau hynny fel arfer. Os yw'r ISP yn eich rhoi y tu ôl i NAT gradd cludwr, nid yw unrhyw faint o anfon porthladdoedd ar y llwybrydd yn creu man mynediad cyrraeddadwy, a'r ateb gonest yw trefniant cyfnewidydd neu fesh. Cymharwch y cyfeiriad WAN y mae eich llwybrydd yn ei adrodd â'r cyfeiriad y mae'r byd allanol yn ei weld; os ydynt yn wahanol ac mae gwerth y llwybrydd mewn amrediad preifat neu rannol, cynlluniwch ar gyfer yr achos cyfnewidydd.

Pa westeiwr bynnag a ddewch, anfonwch un protocol ar un porth yn hytrach nag amrediad, a chadwch y Mac allan o'r llwybr i mewn oni bai bod y cynnyrch penodol hwnnw'n dogfennu rôl gweinydd ar gyfer y rhyddhau macOS yr ydych yn ei redeg.

Cadarnhewch y rôl cyn i chi roi proffiliau allan

Ar y porth ymgeisiol, profwch fod gwrandäwr yn bodoli yn hytrach na choelio bod y gosodwr wedi creu un. Ar macOS mae hynny'n golygu sudo lsof -nP -iUDP wedi'i hidlo i'r porthladdoedd uchod, ynghyd â sudo pfctl -s nat os yw rheolau hidlo pecynnau yn rhan o'r dyluniad. Ar Linux mae ss -lunp yn dangos yr un ffeithiau heb amwysedd.

Yna profwch o'r tu allan i'r rhwydwaith, gan ddefnyddio'r protocol ei hun. Ychydig y mae ping yn ei brofi: mae ICMP fel arfer yn cael ei hidlo ac nid yw'n dweud dim am UDP 51820. Yr ysgwyd llaw cleient â logio manwl, wedi'i redeg o ffôn ar ddata symudol, yw'r prawf gwirioneddol rhataf oherwydd ei fod yn croesi'r un llwybr ag y bydd cydweithiwr pell yn ei groesi.

Dim ond wedyn y byddwch yn cyffwrdd â phroffiliau cleient. Ar y Mac, mae scutil --nc list yn argraffu'r gwasanaethau VPN y mae'r system yn eu hadnabod; os nad yw'r porth a adeiladwyd gennych gynnau ymhlith hwy, rydych yn ffurfweddu peiriant gwahanol i'r un a brofwyd. Os yw'r ysgwyd llaw yn llwyddo ar y LAN ond yn methu o'r tu allan, mae'r bai ar y llwybr i mewn: rheol NAT, CGNAT darparwr, neu wal dân ar y porth, yn y drefn honno.

Cyn i chi adeiladu unrhyw beth, setlwch bedwar pwynt:

• Pa ochr sy'n cychwyn y cysylltiad, eich Mac neu ddyfais bell.
• A yw rhyddhau OS a chynnyrch y gwesteiwr derbyn mewn gwirionedd yn cefnogi rôl gweinydd.
• A yw eich ISP yn rhoi cyfeiriad cyhoeddus cyrraeddadwy o gwbl.
• Pa un porth a phrotocol y bydd y porth yn ei dderbyn, a pha wasanaeth y tu ôl iddo sy'n ateb.

Mae'r cam nesaf yn concrit: dewiswch westeiwr y porth, cadarnhewch ei wrandäwr o'r tu allan, a dim ond wedyn crëwch y cofnod cleient ar y Mac sy'n pwyntio ato.