Kuidas valida Maci VPN-klienti värava jaoks, mis teil juba on

Allalaadimislehel on kuus Maci VPN-rakendust ja ükski ei ütle, millise teie tööandja värav vastu võtab. See pole poe tühik; see on üleandmise tühik. Üks SSL VPN on tooteperekond, mitte protokoll, seega kaks identsete sisselogimisekraanidega väravat võivad nõuda erinevaid kliente. Järgin seda järjekorda, kui keegi annab mulle Maci ja serveriaadressi: tee kindlaks, mida värav räägib, vali sellega sobiv klient ja kontrolli siis marsruute ja DNS-i, enne kui usaldad tunnelile tööd.

Alusta väravast, mitte rakendusepoest

Rakendus töötab teie Macis, aga ühenduse peab vastu võtma ja juurdepääsu andma miski muu: värav, millel on operaator, aadress, ühilduvad seaded ja viis teid volitada. Tasuta klient võib olla hea tarkvara ja mitte pakkuda neist ühtegi. Tööjuurdepääs, kodune värav ja kommertsiaalne internetiväljund on kolm erinevat lähtepunkti, mis juhtumisi jagavad üht allalaadimislehte.

Enne millegi paigaldamist või asendamist hankige teenust haldavalt inimeselt neli vastust:

• Juurdepääsurežiim: brauseriportaal, valitud rakenduste juurdepääs või täielik võrgutunnel. See otsustab, kas klienti üldse vaja on.

• Värava perekond ja toetatud versioon: toode, lubatud teenus ja kliendiversioon, mis toetab veel teie macOS-i buildi ja Maci riistvara.

• Autentimine: parool pluss MFA, brauserisisselogimine, seadmesertifikaat või olekukontroll. Klient, millel pole kinnitatud voogu, ühendub ja lükatakse siis tagasi.

• Omandisuhe: usaldusväärne allalaadimis- või haldusallikas, ettenähtud profiil ja see, kes seda rikke korral toetab.

Omandisuhe on punkt, mille inimesed vahele jätavad. Hallatud Macis tuleb profiil sageli organisatsiooni haldussüsteemi kaudu ja käsitsi ehitatud konfiguratsiooni võidakse järgmisel kontrollil asendada. Küsige, kas teilt oodatakse ise millegi paigaldamist, enne kui otsite kolmanda osapoole rakendust.

SSL VPN on perekonnanimi, mitte protokoll

TLS võib ühendust kaitsta, samal ajal kui tootespetsiifiline vahetus selle sees haldab sisselogimist, sessioonide jaotamist ja tunneli liiklust. Just selle sisemise vahetuse peab klient rakendama. Brauser, mis jõuab värava HTTPS-i sisselogimislehele, tõestab sertifikaadiahelat ja veebiserverit; see ei tõesta, et mitteseotud VPN-rakendus suudab samasse masinasse tunneli ehitada.

OpenConnect on selgeim näide, mida tean. Selle projekti dokumentatsioon loetleb eraldi protokollirežiimid erinevate väravaperekondade jaoks ja eristab koostalitlusvõimet ametlikust tootjatoest. Kui iga SSL VPN räägiks ühte protokolli, oleks need režiimid tarbetud.

OpenVPN-profiilil on sama piirang vastupidi: see on impordivorming OpenVPN-iga ühilduva juurutuse jaoks. Jagatud TLS ehitusplokina ei muuda seda suvalise ettevõttevärava konfiguratsioonifailiks. Seetõttu on töötav brauserisisselogimine vale-positiivne: portaalijuurdepääs võib õnnestuda, kui tunnelit pole, ja üles tõusnud tunnel võidakse hiljem olekukontrolliga tagasi lükata.

Sobita klient sellega, mida värav räägib

Kui perekond on teada, kitseneb valik kiiresti. See on vastendus, mida esimesena kontrollin, ja viimane veerg loeb rohkem kui ükski rakenduse hinnang.

Kaks rida väärib hoiatust. Sisseehitatud macOS-i klient on tõeline IKEv2-teostus, mitte üldine SSL VPN klient: selle jaoks loodud teenus vajab õiget profiili, oodatud serveri identiteeti ja volitusi ning hallatud masinas võib see profiil lukustatud olla. OpenConnect katab ühest binaarfailist mitut tootjaprotokolli, kuid selle projekt ei väida tootjatuge; hostiskaneerimine, värava saadetud jaotatud tunneli reeglid või konkreetne SSO-voog võivad eksisteerida ainult tootja kliendis.

WireGuardil on sama kuju. Teenus annab peerid, klient annab tunneli ja OpenVPN-profiil pole asendus. Üks macOS-i nüanss: App Store'i klient hoiab tunneleid võrgulaienduse sees, seega Homebrew tööriistade wg show ei pruugi liidese töötamise ajal midagi näidata. Kontrollige marsruutide ja liiklusega.

Seadista ja seejärel kontrolli kindlas järjekorras

Paigaldage üks klient ja üks profiil ning kirjutage üles, mida muutsite. Enne ühendamist võtke algseis, et näha, mida tunnel muudab:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Ühenduge antud profiiliga ja korrake samu käske. Täieliku tunneli korral peaks vaikemarsruut osutama utun-liidesele; jaotatud tunneli korral marsruuditakse ainult sisemisi prefikseid ja teie avalik väljund peaks välja nägema muutumatuna. DNS on pool, mis tavaliselt katki jääb: scutil --dns loetleb resolverid järjekorras, milles süsteem neid kasutab, ja avaliku all olev sisemine resolver saadab sisemised nimed valesse serverisse.

OpenVPN-teenuse jaoks on Tunnelblick mõistlik tasuta klient ja selle enda juhend on otsene puuduva poole suhtes: see ei paku VPN-teenust. Topeltklõpsake saadud .ovpn-failil, laske Tunnelblickil see paigaldada ja kontrollige versiooni oma macOS-i versiooni vastu, enne kui sellele loote.

Tootja värava jaoks testin sageli OpenConnectiga käsurealt:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Tööriist prindib saadud sertifikaadi ja ootab enne tundmatu ahela usaldamist; see küsimus on omadus ja kinnitamine valikuga --servercert pin-sha256:... on parem kui nõustuda hoiatustega, mida te ei lugenud. Ctrl-C rebib tunneli maha, sest esiplaanil töötaval openconnectil pole ei hädaseiskajat ega taasühendumisloogikat. See sobib diagnoosisessiooniks ja on halb vaikevalik igapäevatööks.

Kui pole väravat, millega sobida

Mõned tulevad vastupidise probleemiga: pole operaatorit, pole aadressi, pole teenust. Tasuta Maci rakendus ei saa koduruuteris sissetulevat kättesaadavust luua. Kui tahate hotellist oma võrku, peab keegi kodus väravat haldama, seda värskendama, selle aadressi avaldama või lahendama ja otsustama, millised seadmed on kättesaadavad.

Kui tahate hoopis teistsugust internetiväljundit, mitte juurdepääsu privaatvõrgule, valige teenus enne klienti. Tühi profiilide loend eraldiseisvas kliendis pole sageli katki tasuta tellimus; tellimust ja ühendatud serverit ei pruugi ollagi. Hoidke kulud lahus: kliendilitsents, teenuseplaan ja ise hallatav värav on kolm erinevat ostu.

Töö-Mac lisab poliitikakihi. Tasuta rakendus võib olla vale ka siis, kui see ühendub, sest kinnitatud klient võib nõuda seadmekontrolle või autentimisvoogu, mida alternatiivil pole. Küsige kinnitatud alternatiivi, selle asemel et kopeerida volitusi mitteseotud rakenduste vahel, ja ärge pidage platvormikaitse väljalülitamist ühilduvusparanduseks.

Kaugtöölaua vaataja on samuti teine toode. See näitab teile sessiooni teises arvutis; see ei anna teie Maci kohalikele rakendustele võrguteed, mille tunnel annab.

Lühike kontrollnimekiri enne esimest tõelist sessiooni

Nimetage kirjalikult värava perekond ja juurdepääsurežiim, paigaldage ainult sobiv klient ja kirjutage üles kasutatud profiil. Seejärel kinnitage kolm asja tõelise liiklusega: tunneli paigaldatud marsruudid, resolverite järjekord ja üks sisemine rakendus, milleni jõuate nime, mitte IP järgi.

Kui miski ebaõnnestub, muutke korraga üht muutujat: klient, profiil, autentimisvoog. Portaal, mis laeb, samal ajal kui tunnel keeldub käivitumast, eristab veebiserveri probleemi kliendi ühilduvuse probleemist. Kui tööteenus vastab ja avalik tee käitub ootuspäraselt, on teil nimetatud ja toetatud lahendus, mitte hunnik oletusi.