تنظیمات VPN مک سروری راه‌اندازی نمی‌کند: دروازه کجا زندگی می‌کند

در macOS دو کار متفاوت نام VPN را یدک می‌کشند و پنجره تنظیمات فقط یکی از آن‌ها را اداره می‌کند. اگر می‌خواهید ترافیک این مک از طریق یک ارائه‌دهنده یا دروازه دور خارج شود، یک ورودی کارخواه تمام چیزی است که لازم دارید. اگر می‌خواهید از اتاق هتل به چاپگر، NAS یا صفحه‌ای مدیریتی در شبکه خانگی‌تان برسید، آن‌گاه چیزی در آن شبکه باید اتصال‌های بیرونی را بپذیرد و یک مک امروزی به‌طور پیش‌فرض همان چیز نیست. سه پرسش روشن می‌کند در کدام حالت هستید و پاسخ دادن به آن‌ها پیش از تایپ یک نشانی در فیلد ارزش دارد.

ورودی کارخواه مقصد را نام می‌برد، نه شنونده را

در تنظیمات سیستم > شبکه > VPN در macOS Ventura و نسخه‌های بعد، فیلدهایی که نسخه‌های قدیمی‌تر زیر ترجیحات شبکه نگه می‌دارند توضیح می‌دهند چگونه به نقطه پایانی شخص دیگری برسید: نشانی کارساز، شناسه دور، حساب یا گواهی، و قواعد اختیاری اتصال بر اساس تقاضا. ذخیره آن ورودی، یک اتصال را در پیکربندی شبکه مک شما نگه می‌دارد. هیچ‌چیز در این فرآیند درگاهی را مقید نمی‌کند، شنونده‌ای باز نمی‌کند یا کاربری دور را ثبت نمی‌کند.

می‌توانید این را از پوسته بررسی کنید. روی مکی که گمان می‌کنید سرویس می‌دهد، sudo lsof -nP -iUDP را اجرا کنید و درگاه‌هایی را که پروتکل شما به کار می‌برد ببینید: 500 و 4500 برای IKEv2، 1194 برای پیش‌فرض OpenVPN، 51820 برای WireGuard. ماشینی که فقط کارخواه است سوکت‌هایی جفت‌شده با نشانی و درگاه دور نشان می‌دهد، نه اتصال به یک الگوی عام که چیزی در اینترنت به آن برسد. تونل‌هایی که درون Network Extension اجرا می‌شوند می‌توانند از lsof پنهان بمانند، پس در هر حال پنل وضعیت خود برنامه را نیز بررسی کنید؛ چیزی که پیدا نخواهید کرد یک ترجیح Apple است که این مک را به دروازه تبدیل کند.

سه پرسش دو نقش را از هم جدا می‌کند

به ترتیب از آن‌ها بگذرید. پرسش اول معمولاً بقیه را تعیین می‌کند و سومی جایی است که بیشتر برنامه‌ریزی خاص مک اشتباه می‌شود.

1. چه کسی گفتگو را شروع می‌کند؟ اگر مک شما به بیرون زنگ می‌زند و طرف مقابل پاسخ می‌دهد، به کارخواه نیاز دارید. اگر دستگاه‌های اینترنت باید به درون زنگ بزنند تا به شبکه شما برسند، به دروازه‌ای با نقطه ورود عمومی نیاز دارید و مک می‌تواند کارخواه همان دروازه بماند.

2. تا وقتی تونل برپاست چه چیزی باید در دسترس باشد؟ یک سرویس روی یک میزبان تصمیمی درباره هدایت درگاه است. یک زیرشبکه کامل، با حل نام در آن، تصمیمی درباره مسیریابی و DNS است و تغییر می‌دهد دروازه چه چیزی را باید هدایت کند، نه آنچه ورودی کارخواه می‌گوید.

3. کدام نسخه سیستم عامل انتهای پذیرنده را اجرا می‌کند؟ برای مک‌ها این پرسش پاسخ سختی دارد. Apple فهرست می‌کند که VPN از macOS Server 5.7.1 حذف شده و خود برنامه macOS Server در 21 آوریل 2022 متوقف شد؛ صفحه‌ای که باید بخوانید وقتی آموزشی قدیمی شما را از یک جعبه انتخاب سرویس VPN می‌گذراند که دیگر وجود ندارد این است: اطلاعیه تاریخچه سرویس.

وقتی پاسخ اول «کسی از بیرون شروع می‌کند» است، جست‌وجو برای کلیدی در پنل کارخواه مک را رها کنید و میزبانی را انتخاب کنید که تونل را پایان می‌دهد.

دروازه به جای آن کجا می‌تواند باشد

چهار چیدمان بیشتر اقسام خانه و دفتر کوچک را پوشش می‌دهد. یک مسیریاب با حالت کارساز واقعی، در مقابل حالت کارخواه با برچسبی دیگر، تونل را در لبه پایان می‌دهد و شمار میزبان‌ها را کم نگه می‌دارد، به بهای وابستگی به پشتیبانی پروتکل آن میان‌افزار. یک NAS یا یک رایانه کوچک همیشه‌روشن بسته کارساز شرکت سازنده را اجرا می‌کند و گزارش‌هایی می‌گذارد که می‌توانید بخوانید. یک ماشین مجازی کوچک ابری نشانی عمومی‌ای در اختیارتان می‌گذارد که کنترلش می‌کنید و از طریق تونلی دوم به خانه می‌رسد. یک هم‌پوشانی مش مبتنی بر WireGuard، یا سرویس مدیریت‌شده‌ای که میان همتاها رله می‌کند، با واداشتن دو سر به زنگ زدن به بیرون از هدایت درگاه ورودی می‌گریزد.

مرز میان این گزینه‌ها معمولاً اتصال اینترنت شماست، نه نرم‌افزار. اگر ارائه‌دهنده شما را پشت NAT سطح اپراتور بگذارد، هیچ مقدار هدایت درگاه روی مسیریاب نقطه ورود قابل دسترسی نمی‌سازد و پاسخ صادقانه چیدمان رله یا مش است. نشانی WAN را که مسیریاب شما گزارش می‌کند با نشانی‌ای که دنیای بیرون می‌بیند مقایسه کنید؛ اگر متفاوت‌اند و مقدار مسیریاب در بازه‌ای خصوصی یا اشتراکی است، برای حالت رله برنامه بریزید.

هر میزبانی که برمی‌گزینید، یک پروتکل را روی یک درگاه هدایت کنید نه یک بازه، و مک را از مسیر ورودی بیرون نگه دارید مگر اینکه همان محصول مشخص، نقشی کارساز برای نسخه macOS که اجرا می‌کنید مستند کرده باشد.

پیش از پخش پروفایل‌ها نقش را تأیید کنید

روی دروازه نامزد، وجود شنونده را اثبات کنید نه اینکه به ساختن آن توسط نصب‌کننده اعتماد کنید. در macOS این یعنی sudo lsof -nP -iUDP فیلترشده به درگاه‌های بالا، به‌علاوه sudo pfctl -s nat اگر قواعد فیلتر بسته بخشی از طراحی باشد. در Linux، ss -lunp همان واقعیت‌ها را بی‌ابهام نشان می‌دهد.

سپس از بیرون شبکه، با خود پروتکل بیازمایید. Ping چیز زیادی اثبات نمی‌کند: ICMP معمولاً فیلتر می‌شود و درباره UDP 51820 چیزی نمی‌گوید. یک دست‌دادن کارخواه با ثبت گزارش مفصل، که از تلفنی روی داده همراه اجرا شود، ارزان‌ترین آزمون واقعی است چون همان مسیری را می‌پیماید که همکاری دور خواهد پیمود.

فقط پس از آن به پروفایل‌های کارخواه دست بزنید. روی مک، scutil --nc list سرویس‌های VPN را که سیستم می‌شناسد چاپ می‌کند؛ اگر دروازه‌ای که همین حالا ساخته‌اید میان آن‌ها نیست، ماشینی دیگر جز آنکه آزمودید را پیکربندی می‌کنید. اگر دست‌دادن در شبکه محلی موفق شود ولی از بیرون شکست بخورد، خطا در مسیر ورودی است: قاعده NAT، CGNAT ارائه‌دهنده یا دیوار آتش روی دروازه، به همین ترتیب.

پیش از ساختن هر چیزی، چهار نکته را روشن کنید:

• کدام سو اتصال را آغاز می‌کند، مک شما یا دستگاهی دور.
• آیا نسخه سیستم عامل و محصول میزبان پذیرنده واقعاً نقش کارساز را پشتیبانی می‌کنند.
• آیا ارائه‌دهنده شما اصلاً نشانی عمومی قابل دسترسی می‌دهد.
• دروازه کدام درگاه و پروتکل یگانه را می‌پذیرد و کدام سرویس پشت آن پاسخ می‌دهد.

گام بعدی مشخص است: میزبان دروازه را برگزینید، شنونده آن را از بیرون تأیید کنید و تنها آن‌گاه ورودی کارخواه را روی مک بسازید که به آن اشاره می‌کند.