Nola aukeratu Mac VPN bezero bat jada duzun atebiderako

Sei Mac VPN aplikazio agertzen dira deskarga-orri batean eta batek ere ez du esaten zein onartuko duen zure enpresaren atebideak. Hori ez da dendako hutsunea; entregako hutsunea da. SSL VPN produktu familia bat da, ez protokolo bat, beraz saio-hasierako pantaila berdinak dituzten bi atebidek bezero desberdinak behar izan ditzakete. Hau da erabiltzen dudan ordena norbaitek Mac bat eta zerbitzari-helbide bat ematen didanean: zehaztu atebideak zer hitz egiten duen, aukeratu harekin bat datorren bezeroa, eta gero egiaztatu ibilbideak eta DNS tunelari lana fidatu aurretik.

Hasi atebidetik, ez aplikazio-dendatik

Aplikazioa zure Mac-en exekutatzen da, baina beste zerbait-ek onartu behar du konexioa eta eman sarbidea: operadorea, helbidea, ezarpen bateragarriak eta zu baimenduko zaituen modua dituen atebide bat. Doako bezero bat software ona izan daiteke eta, hala ere, horietako ezer ez eman. Laneko sarbidea, etxeko atebidea eta irteera komertziala hiru abiapuntu desberdin dira, kasualitatez deskarga-orri bera partekatzen dutenak.

Edozer instalatu edo ordezkatu aurretik, lortu lau erantzun zerbitzua kudeatzen duenarengandik:

• Sarbide modua: nabigatzaileko ataria, hautatutako aplikazioen sarbidea edo sare-tunel osoa. Horrek erabakitzen du bezeroa behar duzun ala ez.

• Atebidearen familia eta onartutako bertsioa: produktua, gaitutako zerbitzua eta zure macOS bertsioa eta Mac hardwarea oraindik onartzen dituen bezero-bertsioa.

• Autentifikazioa: pasahitza gehi MFA, nabigatzailean saioa hastea, gailu-ziurtagiria edo jarrera-egiaztapena. Onartutako fluxua ez duen bezeroa konektatu eta gero baztertu egingo da.

• Jabetza: deskarga edo kudeaketa iturri fidagarria, aurreikusitako profila eta matxuratzen denean nork ematen dion laguntza.

Jabetza jendeak saltatzen duen puntua da. Kudeatutako Mac batean profila erakundearen kudeaketa-sistemaren bidez iristen da askotan, eta eskuz eraikitako konfigurazioa hurrengo egiaztapenean ordezkatu daiteke. Galdetu zuk zeuk zerbait instalatzea espero ote den, hirugarren baten aplikazioa bilatu aurretik.

SSL VPN familia-etiketa da, ez protokoloa

TLS-k konexio bat babes dezake, barruan produktuaren berariazko trukea saio-hasiera, saioen esleipena eta tunel-trafikoa kudeatzen dituen bitartean. Truke hori da bezeroak inplementatu behar duena. Atebidearen HTTPS saio-hasierako orria lortzen duen nabigatzaileak ziurtagiri-katea eta web zerbitzaria frogatzen ditu; ez du frogatzen erlazionatuta ez dagoen VPN aplikazio batek makina bererako tunela eraiki dezakeenik.

OpenConnect da ezagutzen dudan adibiderik argiena. Bere proiektuaren dokumentazioa atebide-familia desberdinetarako protokolo modu bereiziak zerrendatzen ditu eta elkarreragingarritasuna fabrikatzailearen laguntza ofizialetik bereizten du. SSL VPN guztiek protokolo bakarra hitz egiten balute, modu horiek alferrikakoak lirateke.

OpenVPN profilak muga bera du alderantziz: OpenVPN-rekin bateragarria den inplementaziorako inportazio formatua da. TLS eraikuntza-bloke gisa partekatzeak ez du bihurtzen atebide korporatibo arbitrariorako konfigurazio-fitxategi. Horregatik lan egiten duen nabigatzaileko saio-hasiera faltsu positiboa da: atariaren sarbidea arrakastatsua izan daiteke tunelik ez dagoenean, eta altxatutako tunel bat geroago jarrera-egiaztapen batek uka dezake.

Egokitu bezeroa atebideak hitz egiten duenera

Familia ezagututa, aukera azkar estutzen da. Hau da lehenengo egiaztatzen dudan mapaketa, eta azken zutabeak aplikazio baten edozein baloraziok baino gehiago balio du.

Bi errek ardatz bat merezi dute. macOS-en barneko bezeroa IKEv2 inplementazio benetakoa da, ez SSL VPN bezero orokorra: berarentzat diseinatutako zerbitzu batek profil egokia, espero den zerbitzari-identitatea eta kredentzialak behar ditu, eta kudeatutako makin batean profil hori blokeatuta egon daiteke. OpenConnect-ek fabrikatzaile askotako protokoloak estaltzen ditu binario bakarretik, baina bere proiektuak ez du fabrikatzailearen laguntzarik aldarrikatzen; ostalariaren eskaneatzea, atebideak bultzatutako tunel zatituaren arauak edo SSO fluxu jakin bat fabrikatzailearen bezeroan soilik egon daitezke.

WireGuard-ek forma bera du. Zerbitzuak pareak ematen ditu, bezeroak tunela, eta OpenVPN profila ez da ordezkoa. macOS xehetasun bat: App Store-ko bezeroak bere tunelak sare-hedapen baten barruan gordetzen ditu, beraz Homebrew tresnen wg show-k ezer ez du erakutsiko interfazea aktibo dagoen bitartean. Egiaztatu ibilbide eta trafikoarekin.

Konfiguratu eta gero egiaztatu orden finkoan

Instalatu bezero bat eta profil bat, eta idatzi zer aldatu duzun. Konektatu aurretik, hartu oinarrizko lerro bat tunelak zer aldatzen duen ikusteko:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Konektatu emandako profilekin eta errepikatu komando berberak. Tunel osoan bide lehenetsiak utun interfaze bat seinalatu behar du; tunel zatituan barne-prefixak soilik bideratu behar dira eta zure irteera publikoak berdin jarraitu behar du. DNS da askotan hautsi mantentzen den erdia: scutil --dns-ek ebazleak sistemak erabiliko dituen ordenan zerrendatzen ditu, eta ebazle publiko baten azpiko barne-ebazle batek barne-izenak zerbitzari okerrago batera bidaliko ditu.

OpenVPN zerbitzu baterako, Tunnelblick doako bezero zentzuzkoa da, eta bere gidak zuzenean hitz egiten du falta den erdiari buruz: ez du VPN zerbitzurik ematen. Egin klik bikoitza emandako .ovpn fitxategian, utzi Tunnelblick-ek instalatzen, eta egiaztatu bertsioa zure macOS bertsioaren aurka, harengan fidatu aurretik.

Fabrikatzailearen atebide baterako, askotan OpenConnect-ekin probatzen dut komando-lerrotik:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Tresnak jasotako ziurtagiria inprimatzen du eta kate ezezagun batean fidatu aurretik itxaroten du; galdera hori ezaugarri bat da, eta --servercert pin-sha256:... erabiliz finkatzea irakurri ez duzun abisu bat onartzea baino hobea da. Ctrl-C-k tunela botatzen du, aurreko planoan dagoen openconnect-ek ez baitu ez gelditzeko etengailurik ez berriz konektatzeko logikarik. Hori diagnostiko saio baterako egokia da eta eguneroko lanerako lehenetsitako balio txarra.

Ez dagoenean bat etortzeko atebiderik

Batzuk aurkako arazoarekin iristen dira: operadorearik ez, helbiderik ez, zerbitzurik ez. Doako Mac aplikazio batek ezin du sarrerako irisgarritasunik sortu etxeko router batean. Hotel batetik zure sarea nahi baduzu, norbaitek atebidea etxean mantendu behar du, eguneratuta eduki, helbidea argitaratu edo ebatzi eta zein gailu diren irisgarri erabaki.

Sare pribatuarekiko sarbidea baino internet-irteera desberdin bat nahi baduzu, aukeratu zerbitzua bezeroa baino lehen. Bezero autonomo batean profil-zerrenda hutsak ez du maiz apurtutako doako harpidetza esan nahi; baliteke harpidetzarik eta konektatutako zerbitzaririk ez egotea. Mantendu kostuak bereizita: bezero-lizentzia, zerbitzu-plana eta zuk kudeatutako atebidea hiru erosketa desberdin dira.

Laneko Mac batek politika geruza gehitzen du. Doako aplikazio bat okerra izan daiteke konektatzen duenean ere, onartutako bezeroak gailu-egiaztapenak edo alternatibak ez duen autentifikazio fluxua inposa baititzake. Eskatu onartutako alternatiba bat, erlazionatuta ez dauden aplikazioen artean kredentzialak kopiatu ordez, eta ez hartu plataformaren babesak desaktibatzea bateragarritasun konponbide gisa.

Urrutiko mahaigaineko ikustailea ere produktu desberdina da. Beste ordenagailu bateko saio bat erakusten dizu; ez die zure Mac-eko tokiko aplikazioei tunelak ematen duen sare-bidea ematen.

Egiaztapen-zerrenda labur lehen saio errealaren aurretik

Izenda itzazu idatziz atebidearen familia eta sarbide modua, instalatu haiekin bat datorren bezeroa soilik eta erregistratu erabili duzun profila. Gero egiaztatu hiru gauza trafiko errealean: tunelak instalatutako ibilbideak, ebazleen ordena eta izenez eta ez IPz lortzen den barne-aplikazio bat.

Zerbait huts egiten badu, aldatu aldagai bat aldi berean: bezeroa, profila, autentifikazio fluxua. Ataria kargatzen da tunelak abiatzeari uko egiten dion bitartean; horrek web zerbitzariaren arazoa bezeroaren bateragarritasun arazoarengandik bereizten du. Laneko zerbitzuak erantzuten duenean eta bide publikoak espero bezala jokatzen duenean, izendatutako eta onartutako antolaketa bat duzu, susmo pila baten ordez.