Macin VPN-asetukset eivät käynnistä palvelinta: missä yhdyskäytävä asuu

Kaksi eri työtä kantaa VPN-nimeä macOS:ssä, ja asetuspaneeli hoitaa vain toista niistä. Jos haluat tämän Macin liikenteen lähtevän palveluntarjoajan tai etäyhdyskäytävän kautta, asiakasmerkintä riittää. Jos haluat hotellihuoneesta päästä kotiverkkosi tulostimelle, NAS-laitteelle tai hallintasivulle, jonkin siinä verkossa on hyväksyttävä yhteyksiä ulkoa, eikä nykyinen Mac ole se jokin suoraan laatikosta. Kolme kysymystä ratkaisee, missä tapauksessa olet, ja ne kannattaa vastata ennen kuin kirjoitat osoitteen kenttään.

Asiakasmerkintä nimeää kohteen, ei kuuntelijaa

Järjestelmäasetukset > Verkko > VPN -kohdassa macOS Venturassa ja uudemmissa kentät, jotka vanhemmat versiot pitävät Verkko-asetuksissa, kuvaavat miten jonkun toisen päätepisteeseen päästään: palvelinosoite, etätunniste, tili tai varmenne ja valinnaiset pyynnöstä yhdistämisen säännöt. Sen merkinnän tallentaminen tallentaa yhteyden Macisi verkkokokoonpanoon. Mikään prosessissa ei sido porttia, avaa kuuntelijaa tai rekisteröi etäkäyttäjää.

Voit tarkistaa tämän komentotulkista. Suorita Macissa, jonka epäilet palvelevan, sudo lsof -nP -iUDP ja etsi portit, joita protokollasi käyttää: 500 ja 4500 IKEv2:lle, 1194 OpenVPN:n oletukselle, 51820 WireGuardille. Vain asiakaslaite näyttää etäosoitteeseen ja -porttiin paritetut pistokkeet, ei jokerisidontaa, johon jokin internetissä voisi päästä. Network Extensionin sisällä kulkevat tunnelit voivat piiloutua lsof:lta, joten tarkista joka tapauksessa myös sovelluksen oma tilapaneeli; sitä et löydä, että jokin Applen asetus tekisi tästä Macista yhdyskäytävän.

Kolme kysymystä erottaa kaksi roolia

Käy ne läpi järjestyksessä. Ensimmäinen ratkaisee yleensä loput, ja kolmas on kohta, jossa suurin osa Mac-kohtaisesta suunnittelusta menee pieleen.

1. Kuka aloittaa keskustelun? Jos Macisi soittaa ulos ja toinen puoli vastaa, tarvitset asiakkaan. Jos internetin laitteiden on soitettava sisään päästäkseen verkkoosi, tarvitset yhdyskäytävän, jolla on julkinen sisäänkäynti, ja Mac voi jäädä sen yhdyskäytävän asiakkaaksi.

2. Mitä on oltava tavoitettavissa, kun tunneli on pystyssä? Yksi palvelu yhdellä isännällä on portin edelleenohjauspäätös. Koko aliverkko, mukaan lukien nimien selvitys, on reititys- ja DNS-päätös, ja se muuttaa sitä, mitä yhdyskäytävän on välitettävä, ei sitä, mitä asiakasmerkintä sanoo.

3. Mikä käyttöjärjestelmäversio pyörii vastaanottavassa päässä? Maceille tuolla kysymyksellä on kova vastaus. Apple listaa VPN:n poistetuksi macOS Server 5.7.1:stä, ja itse macOS Server -sovellus lopetettiin 21. huhtikuuta 2022; sivu, joka kannattaa lukea, kun vanha opas vie sinut VPN-palvelun valintaruudun läpi, jota ei enää ole, on ilmoitus palvelun historiasta.

Kun ensimmäinen vastaus on ”joku ulkopuolelta aloittaa”, lopeta kytkimen etsiminen Macin asiakaspaneelista ja valitse isäntä, joka päättää tunnelin.

Missä yhdyskäytävä voi sen sijaan asua

Neljä järjestelyä kattaa useimmat koti- ja pienkonttitapaukset. Reititin, jossa on todellinen palvelintila, erotuksena toisella nimellä kulkevasta asiakastilasta, päättää tunnelin reunalla ja pitää isäntien määrän pienenä, mutta sitoo sinut kyseisen laiteohjelman protokollatukeen. NAS tai aina päällä oleva minitietokone ajaa valmistajan palvelinpakettia ja jättää lokit, joita voit lukea. Pieni pilvi-VM antaa sinulle julkisen osoitteen, jota hallitset, ja saavuttaa kodin toisen tunnelin kautta. WireGuardiin rakennettu mesh-verkko tai hallittu palvelu, joka välittää vertaisten välillä, kiertää saapuvan portin edelleenohjauksen saamalla molemmat päät soittamaan ulos.

Näiden vaihtoehtojen raja on yleensä internet-yhteytesi, ei ohjelmisto. Jos operaattori asettaa sinut operaattoritason NAT:n taakse, mikään portin edelleenohjaus reitittimellä ei tuota tavoitettavaa sisäänkäyntiä, ja rehellinen vastaus on rele- tai mesh-järjestely. Vertaa WAN-osoitetta, jonka reitittimesi ilmoittaa, osoitteeseen, jonka ulkomaailma näkee; jos ne eroavat ja reitittimen arvo on yksityisellä tai jaetulla alueella, suunnittele rele-tapaus.

Minkä isännän valitsetkin, välitä yksi protokolla yhdellä portilla eikä aluetta, ja pidä Mac poissa saapuvasta polusta, ellet juuri se tuote dokumentoi palvelinroolia käyttämällesi macOS-versiolle.

Vahvista rooli ennen kuin jaat profiileja

Todista ehdokasyhdyskäytävässä, että kuuntelija on olemassa, sen sijaan että luottaisit asentajan luoneen sellaisen. macOS:ssä se tarkoittaa yllä oleviin portteihin suodatettua sudo lsof -nP -iUDP:tä sekä sudo pfctl -s nat:ta, jos pakettisuodattimen säännöt ovat osa suunnittelua. Linuxissa ss -lunp näyttää samat tosiasiat ilman epäselvyyttä.

Testaa sitten verkon ulkopuolelta itse protokollalla. Ping todistaa vähän: ICMP suodatetaan usein eikä se kerro mitään UDP 51820:stä. Asiakkaan kättely yksityiskohtaisella lokituksella, ajettuna puhelimesta mobiilidatalla, on halvin todellinen testi, koska se kulkee saman polun kuin etäkollega kulkee.

Vasta sen jälkeen kosket asiakasprofiileja. Macissa scutil --nc list tulostaa VPN-palvelut, jotka järjestelmä tuntee; jos juuri rakentamasi yhdyskäytävä ei ole niiden joukossa, konfiguroit eri konetta kuin testasit. Jos kättely onnistuu lähiverkossa mutta epäonnistuu ulkoa, vika on saapuvassa polussa: NAT-sääntö, operaattorin CGNAT tai palomuuri yhdyskäytävässä, juuri siinä järjestyksessä.

Ennen kuin rakennat mitään, ratkaise neljä kohtaa:

• Kumpi puoli aloittaa yhteyden, Macisi vai etälaite.
• Tukevatko vastaanottavan isännän käyttöjärjestelmäversio ja tuote todella palvelinroolia.
• Antaako operaattorisi ylipäätään tavoitettavan julkisen osoitteen.
• Minkä yksittäisen portin ja protokollan yhdyskäytävä hyväksyy ja mikä palvelu sen takana vastaa.

Seuraava askel on konkreettinen: valitse yhdyskäytäväisäntä, vahvista sen kuuntelija ulkoa ja vasta sitten luo Maciin asiakasmerkintä, joka osoittaa siihen.