Kiel elekti Mac VPN-klienton por la pordego, kiun vi jam havas

Ses Mac VPN-programoj aperas sur elŝuta paĝo kaj neniu diras, kiun via dunganta pordego akceptos. Tio ne estas manko en la butiko; ĝi estas manko en la transdono. SSL VPN estas produktfamilio, ne protokolo, do du pordegoj kun identaj ensalutaj ekranoj povas postuli malsamajn klientojn. Jen la ordo, kiun mi uzas, kiam iu donas al mi Mac kaj servilan adreson: determini, kion parolas la pordego, elekti la klienton kongruan al ĝi, poste kontroli itinerojn kaj DNS antaŭ ol konfidi laboron al la tunelo.

Komencu per la pordego, ne per la aplikaĵa butiko

La programo ruliĝas sur via Mac, sed io alia devas akcepti la konekton kaj doni aliron: pordego kun administranto, adreso, kongruaj agordoj kaj maniero rajtigi vin. Senpaga kliento povas esti bona programaro kaj tamen doni neniun el tiuj. Labora aliro, hejma pordego kaj komerca interreta eliro estas tri malsamaj startpunktoj, kiuj hazarde kunhavas unu elŝutan paĝon.

Antaŭ ol instali aŭ anstataŭigi ion, ricevu kvar respondojn de tiu, kiu funkciigas la servon:

• Alira reĝimo: retumila portalo, aliro al elektitaj aplikaĵoj aŭ plena reta tunelo. Tio decidas, ĉu vi entute bezonas klienton.

• Pordega familio kaj subtenata eldono: la produkto, la aktiva servo kaj klienta versio, kiu ankoraŭ subtenas vian macOS-konstruaĵon kaj Mac-aparaton.

• Aŭtentikigo: pasvorto plus MFA, ensaluto per retumilo, aparata atestilo aŭ sinteno-kontrolo. Kliento sen la aprobita fluo konektiĝos kaj poste estos rifuzita.

• Posedo: la fidinda elŝuta aŭ administra fonto, la celata profilo kaj kiu subtenas ĝin, kiam ĝi rompiĝas.

Posedo estas la ero, kiun homoj preterlasas. Sur administrata Mac la profilo ofte alvenas per la administra sistemo de la organizo, kaj permane konstruita agordo povas esti anstataŭigita ĉe la sekva kontrolo. Demandu, ĉu oni atendas, ke vi mem instalos ion, antaŭ ol serĉi triapartan programon.

SSL VPN estas familia etikedo, ne protokolo

TLS povas protekti konekton, dum produktspecifa interŝanĝo interne traktas ensaluton, seancojn kaj tunelan trafikon. Ĝuste tiun internan interŝanĝon kliento devas realigi. Retumilo, kiu atingas la HTTPS-ensalutan paĝon de la pordego, pruvas la atestilan ĉenon kaj la retservilon; ĝi ne pruvas, ke nerilata VPN-programo povas konstrui tunelon al la sama maŝino.

OpenConnect estas la plej klara ekzemplo, kiun mi konas. Ĝia projekta dokumentaro listigas apartajn protokolajn reĝimojn por malsamaj pordegaj familioj kaj apartigas kunagadon de oficiala subteno de la vendanto. Se ĉiu SSL VPN parolus unu protokolon, tiuj reĝimoj estus superfluaj.

OpenVPN-profilo havas la saman limigon inverse: ĝi estas importa formato por OpenVPN-kongrua enkonduko. Kunhava TLS kiel konstrubloko ne igas ĝin agorda dosiero por arbitra entreprena pordego. Tial funkcianta retumila ensaluto estas falsa pozitivo: portala aliro povas sukcesi, dum tunelo ne ekzistas, kaj tunelo, kiu leviĝas, povas poste esti rifuzita de sinteno-kontrolo.

Kongruigu la klienton al tio, kion parolas la pordego

Kiam la familio konatas, la elekto rapide mallarĝiĝas. Jen la mapado, kiun mi kontrolas unue, kaj la lasta kolumno gravas pli ol iu ajn takso de programo.

Du vicoj meritas averton. La enkonstruita macOS-kliento estas vera IKEv2-realigo, ne ĝenerala SSL VPN-kliento: servo desegnita por ĝi bezonas la ĝustan profilon, la atendatan servilan identecon kaj akreditaĵojn, kaj sur administrata maŝino tiu profilo povas esti ŝlosita. OpenConnect kovras plurajn vendantajn protokolojn el unu binara dosiero, sed ĝia propra projekto ne asertas vendantan subtenon; gastoskanado, de la pordego pelitaj reguloj pri dividita tunelo aŭ specifa SSO-fluo eble ekzistas nur en la vendanta kliento.

WireGuard havas la saman formon. La servo provizas pierojn, la kliento provizas la tunelon, kaj OpenVPN-profilo ne anstataŭas ĝin. Unu macOS-deturno: la App Store-kliento tenas siajn tunelojn ene de reta etendaĵo, do wg show el la Homebrew-iloj povas raporti nenion, dum la interfaco estas aktiva. Kontrolu per itineroj kaj trafiko.

Agordi, poste kontroli en fiksa ordo

Instalu unu klienton kaj unu profilon, kaj notu, kion vi ŝanĝis. Antaŭ konekti, kaptu bazlinion, por vidi, kion la tunelo ŝanĝas:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Konektu per la donita profilo kaj ripetu la samajn komandojn. Ĉe plena tunelo la implicita itinero devas montri al utun-interfaco; ĉe dividita tunelo nur la internaj prefiksoj estu vojigitaj kaj via publika eliro devas aspekti senŝanĝa. DNS estas la duono, kiu kutime restas rompita: scutil --dns listigas solvantojn en la ordo, kiun la sistemo uzos, kaj interna solvanto sub publika sendos internajn nomojn al la malĝusta servilo.

Por OpenVPN-servo, Tunnelblick estas racia senkosta kliento, kaj ĝia propra gvidilo estas rekta pri la mankanta duono: ĝi ne provizas VPN-servon. Duoble alklaku la ricevitan .ovpn, lasu Tunnelblick instali ĝin, kaj kontrolu la eldonon kontraŭ via macOS-versio antaŭ ol fidi ĝin.

Por vendanta pordego mi ofte testas per OpenConnect el la komandlinio:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

La ilo presas la ricevitan atestilon kaj atendas antaŭ ol fidi nekonatan ĉenon; tiu invito estas trajto, kaj fiksi per --servercert pin-sha256:... estas pli bone ol akcepti averton, kiun vi ne legis. Ctrl-C disŝiras la tunelon, ĉar malfona openconnect havas nek haltigilon nek religadan logikon. Tio taŭgas por diagnoza seanco kaj maltaŭgas kiel implicita elekto por ĉiutaga laboro.

Kiam ne estas pordego por kongruigi

Iuj alvenas kun la kontraŭa problemo: neniu administranto, neniu adreso, neniu servo. Senpaga Mac-programo ne povas krei envenantan atingeblon ĉe hejma kursentilo. Se vi volas vian propran reton el hotelo, iu devas funkciigi pordegon hejme, teni ĝin ĝisdatigita, publikigi aŭ solvi ĝian adreson kaj decidi, kiuj aparatoj atingeblas.

Se vi volas alian interretan eliron anstataŭ aliron al privata reto, elektu la servon antaŭ la kliento. Malplena profillisto en memstara kliento ofte ne estas rompita senpaga abono; eble ne ekzistas abono nek konektita servilo. Tenu ankaŭ la kostojn apartaj: klienta permesilo, serva plano kaj memfunkciigata pordego estas tri malsamaj aĉetoj.

Labora Mac aldonas politikan tavolon. Senpaga programo povas esti malĝusta eĉ kiam ĝi konektiĝas, ĉar la aprobita kliento povas postuli aparatajn kontrolojn aŭ aŭtentikigan fluon, kiun la alternativo ne havas. Petu aprobitan alternativon anstataŭ kopii akreditaĵojn inter nerilataj programoj, kaj ne traktu malŝalton de platformaj protektoj kiel kongruecan riparon.

Perforuma vidigilo por fora labortablo ankaŭ estas alia produkto. Ĝi montras al vi seancon sur alia komputilo; ĝi ne donas al la lokalaj programoj de via Mac la retan vojon, kiun donas tunelo.

Mallonga kontrolo-listo antaŭ la unua vera seanco

Nomu skribe la pordegan familion kaj la aliran reĝimon, instaligu nur la klienton kongruan al ili, kaj registru la uzitan profilon. Poste konfirmu tri aferojn per reala trafiko: la itinerojn instalitajn de la tunelo, la ordon de la solvantoj, kaj unu internan programon atingitan per nomo, ne per IP.

Se io malsukcesas, ŝanĝu unu variablon samtempe: kliento, profilo, aŭtentikiga fluo. Portalo, kiu ŝargiĝas, dum la tunelo rifuzas starti, apartigas retservilan problemon disde klienta kongrueca problemo. Kiam la labora servo respondas kaj la publika vojo kondutas kiel atendite, vi havas nomitan, subtenatan aranĝon anstataŭ amason da konjektoj.