VPN-Einrichtung auf dem Mac: Wählen Sie den Client, der zu Ihrem Profil passt

Richten Sie den Client ein, den Ihr VPN-Anbieter nennt, und weisen Sie den Tunnel dann mit der privaten Ressource nach, die Sie wirklich brauchen. Ein Mac kann eine native VPN-Konfiguration in den Systemeinstellungen halten, aber eine OpenVPN- oder WireGuard-Datei braucht Software, die das Format versteht, und das sind unterschiedliche Einrichtungswege. Die Art der Anmeldedaten entscheidet, wie die Anmeldung scheitert, lesen Sie sie also, bevor Sie etwas eingeben. Beurteilen Sie das Ergebnis danach, was die private Ressource zurückgibt, nicht nach dem Symbol in der Menüleiste.

Bringen Sie den Client mit dem erhaltenen Profil in Einklang

Beginnen Sie mit der Datei oder den Anweisungen Ihres Anbieters, nicht mit einer Protokollliste auf einer Download-Seite. Das native VPN-Formular in den Systemeinstellungen behandelt bestimmte Typen; ein OpenVPN-Profil oder eine WireGuard-Konfiguration braucht eine App, die sie auswertet. Ein verwalteter Mac erhält seine Verbindung möglicherweise bereits von der Geräteverwaltung, und ein zweites Profil darüber erzeugt einen Konflikt statt einer Einrichtung. Sehen Sie nach, was bereits vorhanden ist, bevor Sie etwas installieren.

Die Anmeldemethode stammt aus dem Profil und ist meist eine von drei: ein Kontopasswort, ein Client-Zertifikat oder eine Passphrase, die einen privaten Schlüssel entsperrt. Ein falsches Passwort und ein abgelehntes Zertifikat stoppen beide die Verbindung, doch sie lesen sich nicht gleich, und nur eines davon wird durch Zurücksetzen eines Kontopassworts behoben. Lesen Sie die Ablehnung, bevor Sie etwas ändern: ein abgelaufenes oder nicht vertrauenswürdiges Zertifikat scheitert auch nach einem Passwort-Reset, während ein schlechtes Passwort sofort scheitert, beim ersten Versuch.

Halten Sie private Materialien aus gemeinsamen Protokollen heraus. Eine Schlüssel-Passphrase, ein Client-Zertifikat und sein Schlüssel gehören nicht in einen Chat-Thread mit einem Kollegen, und ein Screenshot des Profil-Editors verrät meist mehr, als der Absender erwartet. Wenn der Anbieter eine importierbare Datei liefert, importieren Sie sie, statt Werte von Hand neu einzugeben.

Weisen Sie es an der Ressource nach, nicht am Symbol

Ein Arbeitsprofil leitet oft nur Büroziele weiter, sodass die öffentliche Adresse beim Surfen gleich bleiben kann, während die private Anwendung funktioniert. Bei einem persönlichen Ausgangsprofil muss sich die von außen sichtbare Adresse ändern, bei einem Arbeitsprofil meist nicht. Messen Sie diesen Unterschied, bevor Sie schließen, dass der Tunnel defekt ist.

Öffnen Sie dann die Ressource, die Sie wirklich brauchen: die Dateifreigabe, die Verwaltungsseite, den Datenbank-Host. Dass eine Startseite über den Tunnel lädt, belegt, dass der Tunnel irgendeinen Verkehr trägt, nicht dass er den beabsichtigten Verkehr trägt. Wenn der Browser noch die ursprüngliche Adresse zeigt, obwohl das Profil sie ändern sollte, vergleichen Sie drei Dinge: die verwendete App, die Adressfamilie und die Proxy-Richtlinie. Ein Browser-Proxy oder ein IPv6-Pfad kann Verkehr am VPN vorbeiführen, während der Tunnel selbst gesund ist.

Wo der Client eine Routing-Tabelle offenlegt, lesen Sie die Standardroute und die Tunnelroute. Dieses Paar hält fest, welches Design Sie tatsächlich umgesetzt haben.

Wenn es nicht mehr funktioniert, finden Sie die Schicht, die gebrochen ist

Eine Einrichtung, die vorher funktionierte, ist meist gebrochen, weil etwas zum Pfad hinzukam: ein zweiter VPN-Client, ein Sicherheitsagent, ein Inhaltsfilter, eine neue Netzwerkerweiterung. Nutzen Sie die eigenen Diagnosen des Produkts, statt Einstellungen zu löschen oder den Netzwerk-Stack zurückzusetzen, was Hoffnung statt Diagnose ist. Ordnen Sie den Fehler einem Ereignis zu — Ruhezustand, ein Wi-Fi-Wechsel, eine Portal-Anmeldung oder ein Client-Update — und notieren Sie, ob er sich wiederholt. Ein wiederholbarer Auslöser gehört mit dem Zeitpunkt in das Ticket.

Namen scheitern anders als Routen. Ein privater Host ist über seinen dokumentierten vollständigen Namen zu erreichen, und kurze Büronamen hängen von einem internen Resolver plus einer Suchdomäne ab, die nur auf dem Firmenpfad existiert. Tauschen Sie diesen Resolver gegen einen öffentlichen DNS-Dienst, und die kurzen Namen lösen gar nicht mehr auf, was wie ein defekter Tunnel aussieht, aber keiner ist.

scutil --dns
dscacheutil -q host -a name intranet.example.com

Suchen Sie in der Ausgabe von scutil --dns den Resolver, dessen Suchdomäne zu Ihrer Firmendomäne passt, und lesen Sie den Namensserver, auf den er zeigt; die unter DNS-Konfiguration aufgeführten Einträge zeigen, welchen Resolver jede Schnittstelle liefert. Wenn der Firmen-Resolver nur für eine andere Schnittstelle erscheint oder der Browser sein eigenes verschlüsseltes DNS betreibt, löst eine App den Namen auf, während alles andere scheitert.

Entfernen Sie ein Profil, das Sie nicht mehr brauchen, über den Mechanismus, der es installiert hat, denn das Löschen eines lokalen Eintrags lässt das serverseitige Konto am Leben, und ein veralteter Client kann dieselben Routen weiter beanspruchen. Auf einem verwalteten Mac zählt der Entfernungsprozess des Administrators. Notieren Sie Profilname, Serveradresse und die funktionierende Ressource, bevor Sie etwas entfernen, damit die Wiederherstellung nicht bei null beginnt.