Πώς να διαλέξετε έναν πελάτη Mac VPN για την πύλη που έχετε ήδη

Έξι εφαρμογές Mac VPN εμφανίζονται σε μια σελίδα λήψης και καμία δεν λέει ποια θα δεχτεί η πύλη του εργοδότη σας. Αυτό δεν είναι κενό στο κατάστημα· είναι κενό στην παράδοση. Ένα SSL VPN είναι οικογένεια προϊόντων, όχι πρωτόκολλο, γι' αυτό δύο πύλες με ίδιες οθόνες σύνδεσης μπορεί να απαιτούν διαφορετικούς πελάτες. Αυτή είναι η σειρά που χρησιμοποιώ όταν κάποιος μου δίνει ένα Mac και μια διεύθυνση διακομιστή: προσδιορίστε τι μιλάει η πύλη, διαλέξτε τον πελάτη που ταιριάζει και μετά επαληθεύστε διαδρομές και DNS πριν εμπιστευτείτε τη σήραγγα με δουλειά.

Ξεκινήστε από την πύλη, όχι από το κατάστημα εφαρμογών

Η εφαρμογή τρέχει στο Mac σας, αλλά κάτι άλλο πρέπει να δεχτεί τη σύνδεση και να δώσει πρόσβαση: μια πύλη με διαχειριστή, διεύθυνση, συμβατές ρυθμίσεις και τρόπο να σας εξουσιοδοτήσει. Ένας δωρεάν πελάτης μπορεί να είναι καλό λογισμικό και να μη δίνει τίποτα από αυτά. Πρόσβαση στην εργασία, οικιακή πύλη και εμπορική έξοδος στο διαδίκτυο είναι τρία διαφορετικά σημεία εκκίνησης που τυχαίνει να μοιράζονται την ίδια σελίδα λήψης.

Πριν εγκαταστήσετε ή αντικαταστήσετε οτιδήποτε, πάρτε τέσσερις απαντήσεις από όποιον τρέχει την υπηρεσία:

• Λειτουργία πρόσβασης: πύλη προγράμματος περιήγησης, πρόσβαση σε επιλεγμένες εφαρμογές ή πλήρης σήραγγα δικτύου. Αυτό καθορίζει αν χρειάζεστε καθόλου πελάτη.

• Οικογένεια πύλης και υποστηριζόμενη έκδοση: το προϊόν, η ενεργή υπηρεσία και μια έκδοση πελάτη που υποστηρίζει ακόμη τη δομή macOS και το υλικό του Mac σας.

• Αυθεντικοποίηση: κωδικός πρόσβασης με MFA, σύνδεση μέσω προγράμματος περιήγησης, πιστοποιητικό συσκευής ή έλεγχος κατάστασης. Ένας πελάτης χωρίς την εγκεκριμένη ροή θα συνδεθεί και μετά θα απορριφθεί.

• Ιδιοκτησία: η έμπιστη πηγή λήψης ή διαχείρισης, το προβλεπόμενο προφίλ και ποιος το υποστηρίζει όταν χαλάσει.

Η ιδιοκτησία είναι το σημείο που οι άνθρωποι προσπερνούν. Σε ένα διαχειριζόμενο Mac το προφίλ φτάνει συχνά μέσω του συστήματος διαχείρισης του οργανισμού, και μια χειροκίνητη ρύθμιση μπορεί να αντικατασταθεί στον επόμενο έλεγχο. Ρωτήστε αν περιμένετε να εγκαταστήσετε κάτι μόνοι σας πριν ψάξετε για εφαρμογή τρίτου.

Το SSL VPN είναι ετικέτα οικογένειας, όχι πρωτόκολλο

Το TLS μπορεί να προστατεύσει μια σύνδεση, ενώ μια ανταλλαγή ειδική για το προϊόν στο εσωτερικό της χειρίζεται σύνδεση, κατανομή συνεδριών και κίνηση της σήραγγας. Αυτή η εσωτερική ανταλλαγή είναι αυτό που πρέπει να υλοποιήσει ένας πελάτης. Ένα πρόγραμμα περιήγησης που φτάνει στη σελίδα σύνδεσης HTTPS της πύλης αποδεικνύει την αλυσίδα πιστοποιητικών και τον διακομιστή ιστού· δεν αποδεικνύει ότι μια άσχετη εφαρμογή VPN μπορεί να χτίσει σήραγγα στο ίδιο μηχάνημα.

Το OpenConnect είναι το πιο καθαρό παράδειγμα που ξέρω. Η τεκμηρίωση του έργου απαριθμεί ξεχωριστές λειτουργίες πρωτοκόλλου για διαφορετικές οικογένειες πυλών και χωρίζει τη διαλειτουργικότητα από την επίσημη υποστήριξη του κατασκευαστή. Αν κάθε SSL VPN μιλούσε ένα πρωτόκολλο, αυτές οι λειτουργίες θα ήταν περιττές.

Ένα προφίλ OpenVPN έχει τον ίδιο περιορισμό ανάποδα: είναι μορφή εισαγωγής για ανάπτυξη συμβατή με OpenVPN. Το κοινό TLS ως δομικό στοιχείο δεν το κάνει αρχείο ρυθμίσεων για μια αυθαίρετη εταιρική πύλη. Γι' αυτό μια λειτουργική σύνδεση από το πρόγραμμα περιήγησης είναι ψευδώς θετική: η πρόσβαση στην πύλη μπορεί να πετύχει ενώ δεν υπάρχει σήραγγα, και μια σήραγγα που σηκώνεται μπορεί αργότερα να απορριφθεί από έλεγχο κατάστασης.

Ταιριάξτε τον πελάτη με αυτό που μιλάει η πύλη

Μόλις γίνει γνωστή η οικογένεια, η επιλογή στενεύει γρήγορα. Αυτή είναι η αντιστοίχιση που ελέγχω πρώτη, και η τελευταία στήλη μετράει περισσότερο από κάθε αξιολόγηση εφαρμογής.

Δύο σειρές αξίζουν προειδοποίηση. Ο ενσωματωμένος πελάτης macOS είναι πραγματική υλοποίηση IKEv2, όχι γενικός πελάτης SSL VPN: μια υπηρεσία σχεδιασμένη γι' αυτόν χρειάζεται το σωστό προφίλ, την αναμενόμενη ταυτότητα διακομιστή και διαπιστευτήρια, και σε διαχειριζόμενο μηχάνημα το προφίλ μπορεί να είναι κλειδωμένο. Το OpenConnect καλύπτει αρκετά πρωτόκολλα κατασκευαστών από ένα δυαδικό, αλλά το ίδιο το έργο δεν διεκδικεί υποστήριξη κατασκευαστή· σάρωση κεντρικού, κανόνες διαχωρισμένης σήραγγας από την πύλη ή συγκεκριμένη ροή SSO μπορεί να υπάρχουν μόνο στον πελάτη του κατασκευαστή.

Το WireGuard έχει την ίδια μορφή. Η υπηρεσία παρέχει ομοτίμους, ο πελάτης παρέχει τη σήραγγα, και ένα προφίλ OpenVPN δεν είναι υποκατάστατο. Μια λεπτομέρεια macOS: ο πελάτης του App Store κρατά τις σήραγγές του μέσα σε επέκταση δικτύου, οπότε το wg show από τα εργαλεία Homebrew μπορεί να μη δείχνει τίποτα ενώ η διεπαφή είναι ενεργή. Επαληθεύστε με διαδρομές και κίνηση.

Διαμορφώστε, μετά επαληθεύστε με σταθερή σειρά

Εγκαταστήστε έναν πελάτη και ένα προφίλ και κρατήστε σημείωση για το τι αλλάξατε. Πριν συνδεθείτε, καταγράψτε μια βάση για να βλέπετε τι αλλάζει η σήραγγα:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Συνδεθείτε με το παρεχόμενο προφίλ και επαναλάβετε τις ίδιες εντολές. Σε πλήρη σήραγγα η προεπιλεγμένη διαδρομή πρέπει να δείχνει σε διεπαφή utun· με διαχωρισμένη σήραγγα μόνο τα εσωτερικά προθέματα πρέπει να δρομολογούνται και η δημόσια έξοδός σας πρέπει να φαίνεται αμετάβλητη. Το DNS είναι το μισό που συνήθως μένει χαλασμένο: το scutil --dns απαριθμεί τους επιλυτές με τη σειρά που θα τους χρησιμοποιήσει το σύστημα, και ένας εσωτερικός επιλυτής κάτω από έναν δημόσιο θα στέλνει εσωτερικά ονόματα στον λάθος διακομιστή.

Για υπηρεσία OpenVPN, το Tunnelblick είναι λογικός πελάτης χωρίς κόστος, και ο οδηγός του είναι ευθύς για το μισό που λείπει: δεν παρέχει υπηρεσία VPN. Κάντε διπλό κλικ στο .ovpn που σας δόθηκε, αφήστε το Tunnelblick να το εγκαταστήσει, και ελέγξτε την έκδοση ως προς την έκδοση macOS σας πριν βασιστείτε σε αυτό.

Για πύλη κατασκευαστή δοκιμάζω συχνά με OpenConnect από τη γραμμή εντολών:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Το εργαλείο εκτυπώνει το πιστοποιητικό που έλαβε και περιμένει πριν εμπιστευτεί μια άγνωστη αλυσίδα· αυτή η προτροπή είναι χαρακτηριστικό, και το καρφίτσωμα με --servercert pin-sha256:... είναι καλύτερο από το να δεχτείτε μια προειδοποίηση που δεν διαβάσατε. Το Ctrl-C κόβει τη σήραγγα, γιατί ένα openconnect στο προσκήνιο δεν έχει διακόπτη ασφαλείας ούτε λογική επανασύνδεσης. Αυτό είναι καλό για διαγνωστική συνεδρία και κακή προεπιλογή για καθημερινή δουλειά.

Όταν δεν υπάρχει πύλη για αντιστοίχιση

Μερικοί φτάνουν με το αντίθετο πρόβλημα: χωρίς διαχειριστή, χωρίς διεύθυνση, χωρίς υπηρεσία. Μια δωρεάν εφαρμογή Mac δεν μπορεί να δημιουργήσει εισερχόμενη προσβασιμότητα σε οικιακό δρομολογητή. Αν θέλετε το δικό σας δίκτυο από ένα ξενοδοχείο, κάποιος πρέπει να τρέχει πύλη στο σπίτι, να την κρατά ενημερωμένη, να δημοσιεύει ή να επιλύει τη διεύθυνσή της και να αποφασίζει ποιες συσκευές είναι προσβάσιμες.

Αν θέλετε διαφορετική έξοδο στο διαδίκτυο αντί για πρόσβαση σε ιδιωτικό δίκτυο, διαλέξτε την υπηρεσία πριν από τον πελάτη. Μια κενή λίστα προφίλ σε αυτόνομο πελάτη συχνά δεν είναι χαλασμένη δωρεάν συνδρομή· μπορεί να μην υπάρχει συνδρομή ούτε συνδεδεμένος διακομιστής. Κρατήστε και το κόστος χωριστά: άδεια πελάτη, πρόγραμμα υπηρεσίας και πύλη που τρέχετε μόνοι σας είναι τρεις διαφορετικές αγορές.

Ένα Mac εργασίας προσθέτει ένα επίπεδο πολιτικής. Μια δωρεάν εφαρμογή μπορεί να είναι λάθος ακόμη και όταν συνδέεται, γιατί ο εγκεκριμένος πελάτης μπορεί να επιβάλλει ελέγχους συσκευής ή ροή αυθεντικοποίησης που λείπει από την εναλλακτική. Ζητήστε εγκεκριμένη εναλλακτική αντί να αντιγράφετε διαπιστευτήρια μεταξύ άσχετων εφαρμογών, και μην θεωρείτε την απενεργοποίηση προστασιών πλατφόρμας διόρθωση συμβατότητας.

Ένας προβολέας απομακρυσμένης επιφάνειας εργασίας είναι επίσης άλλο προϊόν. Σας δείχνει συνεδρία σε άλλον υπολογιστή· δεν δίνει στις τοπικές εφαρμογές του Mac σας τη διαδρομή δικτύου που δίνει μια σήραγγα.

Σύντομη λίστα ελέγχου πριν την πρώτη πραγματική συνεδρία

Ονομάστε γραπτώς την οικογένεια πύλης και τη λειτουργία πρόσβασης, εγκαταστήστε μόνο τον πελάτη που ταιριάζει και καταγράψτε το προφίλ που χρησιμοποιήσατε. Μετά επιβεβαιώστε τρία πράγματα με πραγματική κίνηση: τις διαδρομές που εγκατέστησε η σήραγγα, τη σειρά των επιλυτών και μια εσωτερική εφαρμογή που φτάνετε με όνομα και όχι με IP.

Αν κάτι αποτύχει, αλλάξτε μία μεταβλητή τη φορά: πελάτη, προφίλ, ροή αυθεντικοποίησης. Μια πύλη που φορτώνει ενώ η σήραγγα αρνείται να ξεκινήσει χωρίζει πρόβλημα διακομιστή ιστού από πρόβλημα συμβατότητας πελάτη. Όταν η υπηρεσία εργασίας απαντήσει και η δημόσια διαδρομή συμπεριφερθεί όπως αναμένεται, έχετε μια ονομασμένη, υποστηριζόμενη λύση αντί για ένα σωρό εικασίες.