Οι ρυθμίσεις VPN του Mac δεν ξεκινούν διακομιστή: πού κατοικεί η πύλη

Δύο διαφορετικές εργασίες φέρουν το όνομα VPN στο macOS και το παράθυρο ρυθμίσεων χειρίζεται μόνο τη μία από αυτές. Αν θέλετε η κίνηση αυτού του Mac να βγαίνει μέσω παρόχου ή απομακρυσμένης πύλης, μια καταχώριση πελάτη είναι το μόνο που χρειάζεστε. Αν θέλετε να φτάσετε στον εκτυπωτή, το NAS ή μια σελίδα διαχείρισης στο οικιακό σας δίκτυο από ένα δωμάτιο ξενοδοχείου, τότε κάτι σε εκείνο το δίκτυο πρέπει να δέχεται συνδέσεις από έξω, και ένας σημερινός Mac δεν είναι αυτό το κάτι έτοιμο από το κουτί. Τρεις ερωτήσεις καθορίζουν σε ποια περίπτωση βρίσκεστε, και αξίζει να τις απαντήσετε πριν πληκτρολογήσετε μια διεύθυνση σε ένα πεδίο.

Μια καταχώριση πελάτη ονομάζει προορισμό, όχι ακροατή

Στις Ρυθμίσεις συστήματος > Δίκτυο > VPN στο macOS Ventura και νεότερα, τα πεδία που οι παλαιότερες εκδόσεις κρατούν στις Προτιμήσεις δικτύου περιγράφουν πώς να φτάσετε στο τελικό σημείο κάποιου άλλου: μια διεύθυνση διακομιστή, ένα απομακρυσμένο ID, έναν λογαριασμό ή πιστοποιητικό και προαιρετικούς κανόνες σύνδεσης κατ' απαίτηση. Η αποθήκευση αυτής της καταχώρισης αποθηκεύει μια σύνδεση στη διαμόρφωση δικτύου του Mac σας. Τίποτα στη διαδικασία δεν δεσμεύει θύρα, δεν ανοίγει ακροατή ούτε καταχωρεί απομακρυσμένο χρήστη.

Μπορείτε να το ελέγξετε από το κέλυφος. Σε έναν Mac που υποψιάζεστε ότι εξυπηρετεί, εκτελέστε sudo lsof -nP -iUDP και κοιτάξτε τις θύρες που χρησιμοποιεί το πρωτόκολλό σας: 500 και 4500 για IKEv2, 1194 για το προεπιλεγμένο του OpenVPN, 51820 για το WireGuard. Ένα μηχάνημα μόνο πελάτη δείχνει υποδοχές συνδεδεμένες με απομακρυσμένη διεύθυνση και θύρα, όχι δέσμευση μπαλαντέρ στην οποία θα μπορούσε να φτάσει οτιδήποτε στο διαδίκτυο. Οι σήραγγες που τρέχουν μέσα σε ένα Network Extension μπορεί να κρύβονται από το lsof, οπότε ελέγξτε ούτως ή άλλως και τον πίνακα κατάστασης της ίδιας της εφαρμογής· αυτό που δεν θα βρείτε είναι μια προτίμηση της Apple που μετατρέπει αυτόν τον Mac σε πύλη.

Τρεις ερωτήσεις χωρίζουν τους δύο ρόλους

Περάστε τις με σειρά. Η πρώτη συνήθως καθορίζει τις υπόλοιπες, και η τρίτη είναι εκεί όπου ο περισσότερος σχεδιασμός ειδικά για Mac πάει στραβά.

1. Ποιος ξεκινά τη συνομιλία; Αν ο Mac σας καλεί προς τα έξω και η άλλη πλευρά απαντά, χρειάζεστε πελάτη. Αν συσκευές στο διαδίκτυο πρέπει να καλούν προς τα μέσα για να φτάσουν στο δίκτυό σας, χρειάζεστε πύλη με δημόσιο σημείο εισόδου, και ο Mac μπορεί να παραμείνει πελάτης αυτής της πύλης.

2. Τι πρέπει να είναι προσβάσιμο όσο η σήραγγα είναι ενεργή; Μία υπηρεσία σε έναν κεντρικό υπολογιστή είναι απόφαση προώθησης θύρας. Ένα ολόκληρο υποδίκτυο, μαζί με την επίλυση ονομάτων, είναι απόφαση δρομολόγησης και DNS, και αλλάζει τι πρέπει να προωθεί η πύλη, όχι τι λέει η καταχώριση πελάτη.

3. Ποια έκδοση λειτουργικού συστήματος τρέχει το άκρο που δέχεται; Για τους Mac αυτή η ερώτηση έχει σκληρή απάντηση. Η Apple αναφέρει το VPN ως αφαιρεθέν από το macOS Server 5.7.1, και η ίδια η εφαρμογή macOS Server καταργήθηκε στις 21 Απριλίου 2022· η σελίδα που αξίζει να διαβάσετε όταν ένα παλιό εκπαιδευτικό υλικό σας οδηγεί μέσα από ένα πλαίσιο ελέγχου υπηρεσίας VPN που δεν υπάρχει πια είναι η ανακοίνωση για το ιστορικό της υπηρεσίας.

Όταν η πρώτη απάντηση είναι «κάποιος από έξω ξεκινά», σταματήστε να ψάχνετε για διακόπτη στο παράθυρο πελάτη του Mac και επιλέξτε τον κεντρικό υπολογιστή που θα τερματίσει τη σήραγγα.

Πού μπορεί να κατοικεί η πύλη αντί γι' αυτό

Τέσσερις διατάξεις καλύπτουν τις περισσότερες περιπτώσεις σπιτιού και μικρού γραφείου. Ένας δρομολογητής με γνήσια λειτουργία διακομιστή, σε αντίθεση με λειτουργία πελάτη με άλλη ετικέτα, τερματίζει τη σήραγγα στην άκρη και κρατά χαμηλό τον αριθμό κεντρικών υπολογιστών, με κόστος τη δέσμευση στην υποστήριξη πρωτοκόλλων αυτού του firmware. Ένα NAS ή ένας μίνι υπολογιστής που μένει ανοιχτός τρέχει το πακέτο διακομιστή του κατασκευαστή και σας αφήνει αρχεία καταγραφής που μπορείτε να διαβάσετε. Ένα μικρό VM στο νέφος σάς δίνει μια δημόσια διεύθυνση που ελέγχετε και φτάνει στο σπίτι μέσα από δεύτερη σήραγγα. Μια επικάλυψη πλέγματος βασισμένη στο WireGuard, ή μια διαχειριζόμενη υπηρεσία που αναμεταδίδει μεταξύ ομότιμων, παρακάμπτει την προώθηση εισερχόμενων θυρών κάνοντας και τα δύο άκρα να καλούν προς τα έξω.

Το όριο μεταξύ αυτών των επιλογών είναι συνήθως η σύνδεσή σας στο διαδίκτυο, όχι το λογισμικό. Αν ο πάροχος σας βάλει πίσω από NAT επιπέδου φορέα, καμία προώθηση θυρών στον δρομολογητή δεν παράγει προσβάσιμο σημείο εισόδου, και η έντιμη απάντηση είναι διάταξη με αναμεταδότη ή πλέγμα. Συγκρίνετε τη διεύθυνση WAN που αναφέρει ο δρομολογητής σας με τη διεύθυνση που βλέπει ο έξω κόσμος· αν διαφέρουν και η τιμή του δρομολογητή βρίσκεται σε ιδιωτικό ή κοινόχρηστο εύρος, σχεδιάστε για την περίπτωση αναμεταδότη.

Όποιον κεντρικό υπολογιστή κι αν διαλέξετε, προωθήστε ένα πρωτόκολλο σε μία θύρα και όχι ένα εύρος, και κρατήστε τον Mac έξω από την εισερχόμενη διαδρομή, εκτός αν το συγκεκριμένο προϊόν τεκμηριώνει ρόλο διακομιστή για την έκδοση macOS που τρέχετε.

Επιβεβαιώστε τον ρόλο πριν μοιράσετε προφίλ

Στην υποψήφια πύλη, αποδείξτε ότι υπάρχει ακροατής αντί να εμπιστεύεστε ότι τον δημιούργησε ο εγκαταστάτης. Στο macOS αυτό σημαίνει sudo lsof -nP -iUDP φιλτραρισμένο στις θύρες παραπάνω, συν sudo pfctl -s nat αν οι κανόνες φίλτρου πακέτων είναι μέρος του σχεδιασμού. Στο Linux, το ss -lunp δείχνει τα ίδια γεγονότα χωρίς ασάφεια.

Έπειτα δοκιμάστε από έξω από το δίκτυο, με το ίδιο το πρωτόκολλο. Το ping αποδεικνύει λίγα: το ICMP φιλτράρεται συχνά και δεν λέει τίποτα για το UDP 51820. Μια χειραψία πελάτη με λεπτομερή καταγραφή, που εκτελείται από τηλέφωνο με δεδομένα κινητής, είναι η φθηνότερη πραγματική δοκιμή, γιατί διασχίζει την ίδια διαδρομή που θα διασχίσει ένας απομακρυσμένος συνάδελφος.

Μόνο μετά αγγίζετε τα προφίλ πελατών. Στον Mac, το scutil --nc list εκτυπώνει τις υπηρεσίες VPN που γνωρίζει το σύστημα· αν η πύλη που μόλις φτιάξατε δεν είναι ανάμεσά τους, διαμορφώνετε διαφορετικό μηχάνημα από αυτό που δοκιμάσατε. Αν η χειραψία πετύχει στο LAN αλλά αποτύχει από έξω, το σφάλμα είναι στην εισερχόμενη διαδρομή: κανόνας NAT, CGNAT του παρόχου ή τείχος προστασίας στην πύλη, με αυτή τη σειρά.

Πριν φτιάξετε οτιδήποτε, καθορίστε τέσσερα σημεία:

• Ποια πλευρά ξεκινά τη σύνδεση, ο Mac σας ή μια απομακρυσμένη συσκευή.
• Αν η έκδοση λειτουργικού συστήματος και το προϊόν του κεντρικού υπολογιστή που δέχεται υποστηρίζουν όντως ρόλο διακομιστή.
• Αν ο πάροχός σας σας δίνει καθόλου προσβάσιμη δημόσια διεύθυνση.
• Ποια μοναδική θύρα και πρωτόκολλο θα δεχθεί η πύλη και ποια υπηρεσία πίσω της απαντά.

Το επόμενο βήμα είναι συγκεκριμένο: διαλέξτε τον κεντρικό υπολογιστή της πύλης, επιβεβαιώστε τον ακροατή του από έξω, και μόνο τότε δημιουργήστε την καταχώριση πελάτη στον Mac που δείχνει σε αυτόν.