Opsætning af VPN på Mac: vælg den klient, der passer til din profil

Opsæt den klient, som din VPN-operatør angiver, og bevis derefter tunnelen med den private ressource, du faktisk har brug for. En Mac kan rumme en indbygget VPN-konfiguration i Systemindstillinger, men en OpenVPN- eller WireGuard-fil kræver software, der forstår formatet, og det er forskellige opsætningsveje. Typen af loginoplysninger afgør, hvordan login vil fejle, så læs den, før du skriver noget. Vurder resultatet efter, hvad den private ressource returnerer, ikke efter ikonet i menulinjen.

Tilpas klienten til den profil, du har fået

Start med den fil eller de instruktioner, som din operatør har sendt, ikke en protokollliste på et downloadsite. Den indbyggede VPN-formular i Systemindstillinger håndterer bestemte typer; en OpenVPN-profil eller en WireGuard-konfiguration kræver en app, der parser den. En administreret Mac modtager måske allerede sin forbindelse fra enhedsstyring, og at tilføje en anden profil ovenpå skaber en konflikt i stedet for en opsætning. Se på, hvad der allerede findes, før du installerer noget.

Loginmetoden kommer fra profilen, og den er normalt en af tre: en kontoadgangskode, et klientcertifikat eller en adgangssætning, der låser en privat nøgle op. En forkert adgangskode og et afvist certifikat stopper begge forbindelsen, men de læses ikke ens, og kun den ene af dem kureres ved at nulstille en kontoadgangskode. Læs afvisningen, før du ændrer noget: et udløbet eller ubetroet certifikat fejler stadig efter en nulstilling af adgangskoden, mens en dårlig adgangskode fejler med det samme, i første forsøg.

Hold private materialer ude af delte logs. En nøgleadgangssætning, et klientcertifikat og dets nøgle hører ikke til i en chattråd med en kollega, og et skærmbillede af profileditoren afslører normalt mere, end afsenderen forventer. Hvis operatøren leverer en fil, der kan importeres, skal du importere den i stedet for at skrive værdierne efter.

Bevis, at det virker på ressourcen, ikke på ikonet

En arbejdsprofil sender ofte kun kontordestinationer, så den offentlige adresse, du ser, mens du browser, kan forblive den samme, mens den private applikation virker. På en personlig udgangsprofil skal den adresse, du ser udefra, ændre sig, og på en arbejdsprofil skal den normalt ikke. Mål den forskel, før du konkluderer, at tunnelen er brudt.

Åbn derefter den ressource, du faktisk har brug for: fildelingen, administrationssiden, databaseværten. En startside, der indlæses over tunnelen, beviser, at tunnelen bærer noget trafik, ikke at den bærer den trafik, du havde til hensigt. Hvis browseren stadig viser den oprindelige adresse, når profilen burde ændre den, så sammenlign tre ting: den anvendte app, adressefamilien og proxy-politikken. En browserproxy eller en IPv6-rute kan føre trafik uden om VPN'en, mens selve tunnelen er sund.

Hvor klienten viser en routingtabel, skal du læse standardruten og tunelruten. Det par registrerer, hvilket design du faktisk har implementeret.

Når det holder op med at virke, find det lag, der gik i stykker

En opsætning, der virkede før, gik normalt i stykker, fordi noget sluttede sig til ruten: en anden VPN-klient, en sikkerhedsagent, et indholdsfilter, en ny netværksudvidelse. Brug produktets egne diagnostikværktøjer i stedet for at slette indstillinger eller nulstille netværksstakken, hvilket er et håb snarere end en diagnose. Knyt fejlen til en hændelse — dvale, en Wi-Fi-ændring, et portallogin eller en klientopdatering — og noter, om den gentages. En gentagelig udløser hører i sagen sammen med det tidspunkt, den skete.

Navne fejler anderledes end ruter. En privat vært skal nås på sit dokumenterede fulde navn, og korte kontornavne afhænger af en intern resolver plus et søgedomæne, der kun findes på den virksomhedssti. Skift den resolver ud med en offentlig DNS-tjeneste, og de korte navne holder helt op med at slå op, hvilket ligner en brudt tunnel, men ikke er en.

scutil --dns
dscacheutil -q host -a name intranet.example.com

I outputtet fra scutil --dns skal du finde den resolver, hvis søgedomæne matcher dit virksomhedsdomæne, og læse den navneserver, den peger på; de poster, der er anført under DNS-konfiguration, viser, hvilken resolver hver grænseflade leverer. Når virksomhedsresolveren kun vises for en anden grænseflade, eller browseren kører sin egen krypterede DNS, slår én app navnet op, mens alt andet fejler.

Fjern en profil, du ikke længere har brug for, via den mekanisme, der installerede den, fordi sletning af en lokal post lader serversidekontoen leve, og en forældet klient kan stadig kræve de samme ruter. På en administreret Mac er administratorens fjernelsesproces den, der tæller. Skriv profilnavnet, serveradressen og den fungerende ressource ned, før du fjerner noget, så gendannelse ikke starter fra nul.