Mac VPN-agordoj ne startigas servilon: kie loĝas la pordego

Du malsamaj taskoj portas la nomon VPN en macOS, kaj la agorda panelo traktas nur unu el ili. Se vi volas, ke la trafiko de ĉi tiu Mac eliru per provizanto aŭ fora pordego, klienta enskribo estas ĉio, kion vi bezonas. Se vi volas atingi la printilon, la NAS-on aŭ administran paĝon en via hejma reto el hotelĉambro, tiam io en tiu reto devas akcepti konektojn de ekstere, kaj nuna Mac ne estas tiu io tuj el la skatolo. Tri demandoj decidas, en kiu kazo vi estas, kaj indas respondi ilin antaŭ ol tajpi adreson en kampon.

Klienta enskribo nomas celon, ne aŭskultanton

En Sistemaj agordoj > Reto > VPN en macOS Ventura kaj pli nova, la kampoj, kiujn pli malnovaj versioj tenas sub Retaj preferoj, priskribas kiel atingi ies alian finpunkton: servila adreso, fora ID, konto aŭ atestilo, kaj laŭvolaj reguloj pri konekto laŭ peto. Konservi tiun enskribon konservas konekton en la reta agordo de via Mac. Nenio en la procezo ligas pordon, malfermas aŭskultanton aŭ enskribas foran uzanton.

Vi povas kontroli tion el la ŝelo. Sur Mac, kiun vi suspektas servi, rulu sudo lsof -nP -iUDP kaj serĉu la pordojn, kiujn uzas via protokolo: 500 kaj 4500 por IKEv2, 1194 por la defaŭlto de OpenVPN, 51820 por WireGuard. Maŝino nur klienta montras ingojn parigitajn kun fora adreso kaj pordo, ne sovaĝkartan ligon, kiun io ajn en la interreto povus atingi. Tuneloj, kiuj ruliĝas ene de Network Extension, povas kaŝi sin de lsof, do ĉiuokaze kontrolu ankaŭ la statuspanelon de la aplikaĵo mem; kion vi ne trovos, estas Apple-prefero, kiu igas ĉi tiun Mac la pordego.

Tri demandoj apartigas la du rolojn

Trairu ilin laŭ ordo. La unua kutime decidas la reston, kaj la tria estas kie plej multa Mac-specifa planado misas.

1. Kiu komencas la konversacion? Se via Mac alvokas eksteren kaj la alia flanko respondas, vi bezonas klienton. Se aparatoj en la interreto devas alvoki internen por atingi vian reton, vi bezonas pordegon kun publika enirpunkto, kaj la Mac povas resti kliento de tiu pordego.

2. Kio devas esti atingebla dum la tunelo estas supre? Unu servo sur unu gastiganto estas decido pri porda plusendado. Tuta subreto, inkluzive de nomtraduko, estas decido pri enkursigado kaj DNS, kaj ĝi ŝanĝas kion la pordego devas plusendi, ne kion diras la klienta enskribo.

3. Kiu OS-versio rulas la akceptantan flankon? Por Mac-oj tiu demando havas malmolan respondon. Apple listigas VPN kiel forigitan el macOS Server 5.7.1, kaj la apo macOS Server mem estis ĉesigita la 21-an de aprilo 2022; la paĝo leginda, kiam malnova lernilo kondukas vin tra VPN-serva markobutono, kiu ne plu ekzistas, estas la avizo pri la historio de la servo.

Kiam la unua respondo estas “iu ekstere komencas”, ĉesu serĉi ŝaltilon en la klienta panelo de la Mac kaj elektu la gastiganton, kiu finos la tunelon.

Kie la pordego povas loĝi anstataŭe

Kvar aranĝoj kovras plej multajn hejmajn kaj malgrand-oficejajn kazojn. Enkursigilo kun vera servila reĝimo, kontraste al klienta reĝimo kun alia etikedo, finas la tunelon ĉe la rando kaj tenas la nombron de gastigantoj malalta, sed ligas vin al la protokola subteno de tiu firmvaro. NAS aŭ ĉiam ŝaltita minikomputilo rulas la servilan pakaĵon de la vendanto kaj lasas al vi protokolojn, kiujn vi povas legi. Malgranda nuba VM donas al vi publikan adreson, kiun vi kontrolas, kaj atingas la hejmon per dua tunelo. Maŝa tegaĵo konstruita sur WireGuard, aŭ administrata servo, kiu transsendas inter samranguloj, evitas envenantan pordan plusendadon, igante ambaŭ finojn alvoki eksteren.

La limo inter tiuj opcioj kutime estas via interreta konekto, ne la programaro. Se la provizanto metas vin malantaŭ portanto-nivela NAT, neniu kvanto da porda plusendado sur la enkursigilo produktas atingeblan enirpunkton, kaj la honesta respondo estas aranĝo per transsendilo aŭ maŝo. Komparu la WAN-adreson, kiun raportas via enkursigilo, kun la adreso, kiun vidas la ekstera mondo; se ili diferencas kaj la valoro de la enkursigilo kuŝas en privata aŭ dividita gamo, planu por la transsendila kazo.

Kiun ajn gastiganton vi elektos, plusendu unu protokolon sur unu pordo anstataŭ gamo, kaj tenu la Mac ekster la envenanta vojo, krom se tiu specifa produkto dokumentas servilan rolon por la macOS-versio, kiun vi rulas.

Konfirmu la rolon antaŭ ol disdoni profilojn

Sur la kandidata pordego, pruvu ke aŭskultanto ekzistas anstataŭ fidi, ke la instalilo kreis unu. En macOS tio signifas sudo lsof -nP -iUDP filtritan al la pordoj supre, plus sudo pfctl -s nat se pakaĵfiltraj reguloj estas parto de la dezajno. En Linux, ss -lunp montras la samajn faktojn sen dusenceco.

Poste testu de ekster la reto, uzante la protokolon mem. Ping pruvas malmulte: ICMP ofte estas filtrita kaj diras nenion pri UDP 51820. Klienta manpremo kun detala protokolado, rulita el telefono sur movebla datumaro, estas la plej malmultekosta reala testo, ĉar ĝi trapasas la saman vojon, kiun trapasos fora kolego.

Nur poste vi tuŝas klientajn profilojn. Sur la Mac, scutil --nc list presas la VPN-servojn, kiujn la sistemo konas; se la pordego, kiun vi ĵus konstruis, ne estas inter ili, vi agordas alian maŝinon ol la testitan. Se la manpremo sukcesas en la loka reto sed malsukcesas de ekstere, la kulpo estas en la envenanta vojo: NAT-regulo, CGNAT de la provizanto, aŭ fajroŝirmilo sur la pordego, en tiu ordo.

Antaŭ ol konstrui ion ajn, decidu kvar punktojn:

• Kiu flanko komencas la konekton, via Mac aŭ fora aparato.
• Ĉu la OS-versio kaj produkto de la akceptanta gastiganto vere subtenas servilan rolon.
• Ĉu via provizanto entute donas al vi atingeblan publikan adreson.
• Kiun solan pordon kaj protokolon la pordego akceptos, kaj kiu servo malantaŭ ĝi respondas.

La sekva paŝo estas konkreta: elektu la pordegan gastiganton, konfirmu ĝian aŭskultanton de ekstere, kaj nur tiam kreu la klientan enskribon sur la Mac, kiu montras al ĝi.