Näin valitset Mac-VPN-asiakasohjelman portille, joka sinulla jo on

Lataussivulla näkyy kuusi Mac-VPN-sovellusta, eikä yksikään kerro, minkä työnantajasi portti hyväksyy. Kyse ei ole kaupan aukosta; kyse on luovutuksen aukosta. SSL VPN on tuoteperhe, ei protokolla, joten kaksi samannäköisellä kirjautumisnäkymällä varustettua porttia voi vaatia eri asiakasohjelmat. Käytän tätä järjestystä, kun joku antaa minulle Macin ja palvelimen osoitteen: selvitä, mitä portti puhuu, valitse sitä vastaava asiakasohjelma ja tarkista sitten reitit ja DNS ennen kuin uskot tunnelille työtä.

Aloita portista, älä sovelluskaupasta

Sovellus toimii Macillasi, mutta jonkin muun on hyväksyttävä yhteys ja myönnettävä pääsy: portti, jolla on operaattori, osoite, yhteensopivat asetukset ja tapa valtuuttaa sinut. Ilmainen asiakasohjelma voi olla hyvää ohjelmistoa ja silti tarjota ei mitään näistä. Työpääsy, kotiportti ja kaupallinen internetlähtö ovat kolme eri lähtökohtaa, jotka sattuvat jakamaan saman lataussivun.

Ennen kuin asennat tai korvaat mitään, hanki neljä vastausta siltä, joka palvelua pyörittää:

• Käyttötila: selainportaali, pääsy valittuihin sovelluksiin tai täysi verkkotunneli. Tämä ratkaisee, tarvitsetko asiakasohjelmaa lainkaan.

• Portin perhe ja tuettu versio: tuote, käytössä oleva palvelu ja asiakasohjelman versio, joka tukee yhä macOS-versiotasi ja Mac-laitteistoasi.

• Todennus: salasana ja MFA, selainkirjautuminen, laitevarmente tai tilantarkistus. Asiakasohjelma ilman hyväksyttyä virtaa yhdistää ja hylätään sitten.

• Omistajuus: luotettu lataus- tai hallintalähde, aiottu profiili ja se, kuka tukee sitä, kun se hajoaa.

Omistajuus on kohta, jonka ihmiset ohittavat. Hallinnoidulla Macilla profiili tulee usein organisaation hallintajärjestelmän kautta, ja käsin rakennettu kokoonpano voidaan korvata seuraavassa tarkistuksessa. Kysy, odotetaanko sinun asentavan jotain itse, ennen kuin etsit kolmannen osapuolen sovellusta.

SSL VPN on perhetarra, ei protokolla

TLS voi suojata yhteyden, kun taas tuotekohtainen vaihto sen sisällä hoitaa kirjautumisen, istuntojen jaon ja tunneliliikenteen. Juuri sen sisäisen vaihdon asiakasohjelman on toteutettava. Selain, joka saavuttaa portin HTTPS-kirjautumissivun, todistaa varmenneketjun ja verkkopalvelimen; se ei todista, että asiaankuulumaton VPN-sovellus voi rakentaa tunnelin samaan koneeseen.

OpenConnect on selkein tuntemani esimerkki. Sen projektin dokumentaatio luettelee erilliset protokollatilat eri porttiperheille ja erottaa yhteentoimivuuden virallisesta toimittajatuesta. Jos jokainen SSL VPN puhuisi yhtä protokollaa, ne tilat olisivat tarpeettomia.

OpenVPN-profiililla on sama rajoitus toisin päin: se on tuontimuoto OpenVPN-yhteensopivalle käyttöönotolle. Jaettu TLS rakennuspalikkana ei tee siitä kokoonpanotiedostoa mielivaltaiselle yritysportille. Siksi toimiva selainkirjautuminen on väärä positiivinen: portaalipääsy voi onnistua, vaikka tunnelia ei ole, ja noussut tunneli voidaan myöhemmin hylätä tilantarkistuksessa.

Sovita asiakasohjelma siihen, mitä portti puhuu

Kun perhe on tiedossa, valinta kaventuu nopeasti. Tämän yhdistämisen tarkistan ensin, ja viimeinen sarake merkitsee enemmän kuin mikään sovellusarvio.

Kaksi riviä ansaitsee varoituksen. Sisäänrakennettu macOS-asiakasohjelma on aito IKEv2-toteutus, ei yleinen SSL VPN -asiakasohjelma: sitä varten suunniteltu palvelu tarvitsee oikean profiilin, odotetun palvelinidentiteetin ja tunnistetiedot, ja hallinnoidulla koneella profiili voi olla lukittu. OpenConnect kattaa useita toimittajaprotokollia yhdestä binääristä, mutta sen oma projekti ei väitä toimittajatukea; isäntäkartoitus, portin työntämät jaetun tunnelin säännöt tai tietty SSO-virta voivat olla vain toimittajan asiakasohjelmassa.

WireGuardilla on sama muoto. Palvelu tarjoaa vertaiset, asiakasohjelma tunnelin, eikä OpenVPN-profiili ole korvike. Yksi macOS-nyanssi: App Storen asiakasohjelma pitää tunnelinsa verkkolaajennuksen sisällä, joten Homebrew-työkalujen wg show ei välttämättä näytä mitään, vaikka liitäntä on käytössä. Tarkista reiteillä ja liikenteellä.

Määritä ja tarkista sitten kiinteässä järjestyksessä

Asenna yksi asiakasohjelma ja yksi profiili ja kirjoita muistiin, mitä muutit. Ota ennen yhdistämistä perustaso, jotta näet, mitä tunneli muuttaa:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Yhdistä annetulla profiililla ja toista samat komennot. Täydessä tunnelissa oletusreitin pitäisi osoittaa utun-liitäntään; jaetussa tunnelissa vain sisäiset etuliitteet reititetään ja julkisen lähtösi pitäisi näyttää muuttumattomalta. DNS on se puoli, joka yleensä jää rikki: scutil --dns luettelee ratkaisijat siinä järjestyksessä, jossa järjestelmä niitä käyttää, ja julkisen alla oleva sisäinen ratkaisija lähettää sisäiset nimet väärälle palvelimelle.

OpenVPN-palvelulle Tunnelblick on kohtuullinen maksuton asiakasohjelma, ja sen oma opas on suora puuttuvasta puolesta: se ei tarjoa VPN-palvelua. Kaksoisnapsauta saamaasi .ovpn-tiedostoa, anna Tunnelblickin asentaa se ja tarkista versio macOS-versiotasi vasten ennen kuin luotat siihen.

Toimittajan portille testaan usein OpenConnectilla komentoriviltä:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Työkalu tulostaa vastaanottamansa varmenteen ja odottaa ennen tuntemattomaan ketjuun luottamista; tuo kehote on ominaisuus, ja kiinnittäminen valitsimella --servercert pin-sha256:... on parempi kuin hyväksyä varoitus, jota et lukenut. Ctrl-C katkaisee tunnelin, koska etualalla olevalla openconnectilla ei ole hätäkatkaisinta eikä uudelleenyhdistämislogiikkaa. Se sopii diagnostiikkaistuntoon ja on huono oletus päivittäiseen työhön.

Kun ei ole porttia, johon sovittaa

Jotkut tulevat päinvastaisen ongelman kanssa: ei operaattoria, ei osoitetta, ei palvelua. Ilmainen Mac-sovellus ei voi luoda saapuvaa tavoitettavuutta kotireitittimessä. Jos haluat oman verkkosi hotellista, jonkun on pidettävä porttia kotona, pidettävä se päivitettynä, julkaistava tai ratkaistava sen osoite ja päätettävä, mitkä laitteet ovat tavoitettavissa.

Jos haluat erilaisen internetlähdön etkä pääsyä yksityisverkkoon, valitse palvelu ennen asiakasohjelmaa. Tyhjä profiililuettelo erillisessä asiakasohjelmassa ei usein ole rikki mennyt ilmainen tilaus; tilausta ja yhdistettyä palvelinta ei ehkä ole. Pidä myös kustannukset erillään: asiakasohjelman lisenssi, palvelusuunnitelma ja itse ylläpidetty portti ovat kolme eri ostosta.

Työ-Mac lisää käytäntökerroksen. Ilmainen sovellus voi olla väärä, vaikka se yhdistää, koska hyväksytty asiakasohjelma voi vaatia laitetarkistuksia tai todennusvirran, jota vaihtoehdossa ei ole. Pyydä hyväksytty vaihtoehto sen sijaan, että kopioit tunnistetietoja asiaankuulumattomien sovellusten välillä, äläkä pidä alustan suojien poistamista käyttöön yhteensopivuuskorjauksena.

Etätyöpöytäkatselin on myös eri tuote. Se näyttää istunnon toisella tietokoneella; se ei anna Macisi paikallisille sovelluksille verkkopolkua, jonka tunneli antaa.

Lyhyt tarkistuslista ennen ensimmäistä todellista istuntoa

Nimeä kirjallisesti portin perhe ja käyttötila, asenna vain niitä vastaava asiakasohjelma ja kirjaa käytetty profiili. Vahvista sitten kolme asiaa oikealla liikenteellä: tunnelin asentamat reitit, ratkaisijoiden järjestys ja yksi sisäinen sovellus, johon pääsee nimellä eikä IP:llä.

Jos jokin epäonnistuu, muuta yhtä muuttujaa kerrallaan: asiakasohjelma, profiili, todennusvirta. Portaali, joka latautuu, kun tunneli kieltäytyy käynnistymästä, erottaa verkkopalvelinongelman asiakasohjelman yhteensopivuusongelmasta. Kun työpalvelu vastaa ja julkinen polku käyttäytyy odotetusti, sinulla on nimetty ja tuettu järjestely arvailujen kasan sijaan.