Les réglages VPN du Mac ne lancent pas de serveur : où vit la passerelle

Deux tâches différentes portent le nom de VPN dans macOS, et le panneau des réglages n'en gère qu'une. Si vous voulez que le trafic de ce Mac sorte par un fournisseur ou une passerelle distante, une entrée client suffit. Si vous voulez joindre l'imprimante, le NAS ou une page d'administration de votre réseau domestique depuis une chambre d'hôtel, alors quelque chose sur ce réseau doit accepter des connexions de l'extérieur, et un Mac actuel n'est pas cette chose-là sorti du carton. Trois questions tranchent le cas dans lequel vous êtes, et elles valent la peine d'être posées avant de taper une adresse dans un champ.

Une entrée client nomme une destination, pas un écouteur

Dans Réglages du système > Réseau > VPN sur macOS Ventura et ultérieur, les champs que les versions antérieures gardent sous Préférences Réseau décrivent comment joindre le point de terminaison de quelqu'un d'autre : une adresse de serveur, un ID distant, un compte ou un certificat, et des règles facultatives de connexion à la demande. Enregistrer cette entrée stocke une connexion dans la configuration réseau de votre Mac. Rien dans ce processus ne lie un port, n'ouvre un écouteur ni n'inscrit un utilisateur distant.

Vous pouvez le vérifier depuis le shell. Sur un Mac que vous soupçonnez de servir, lancez sudo lsof -nP -iUDP et cherchez les ports qu'utilise votre protocole : 500 et 4500 pour IKEv2, 1194 pour le défaut d'OpenVPN, 51820 pour WireGuard. Une machine purement cliente montre des sockets appairées à une adresse et un port distants, pas une liaison générique que n'importe quoi sur internet pourrait atteindre. Les tunnels qui tournent dans une Network Extension peuvent se cacher de lsof, alors vérifiez dans tous les cas le panneau d'état de l'application elle-même ; ce que vous ne trouverez pas, c'est une préférence Apple qui transforme ce Mac en passerelle.

Trois questions séparent les deux rôles

Passez-les dans l'ordre. La première décide généralement du reste, et la troisième est là où la plupart de la planification propre au Mac se trompe.

1. Qui engage la conversation ? Si votre Mac compose vers l'extérieur et que l'autre côté répond, il vous faut un client. Si des appareils sur internet doivent composer vers l'intérieur pour joindre votre réseau, il vous faut une passerelle avec un point d'entrée public, et le Mac peut rester client de cette passerelle.

2. Qu'est-ce qui doit être joignable pendant que le tunnel est actif ? Un service sur un hôte est une décision de redirection de port. Un sous-réseau entier, résolution de noms comprise, est une décision de routage et de DNS, et elle change ce que la passerelle doit transmettre, non ce que dit l'entrée client.

3. Quelle version du système d'exploitation fait tourner le côté qui accepte ? Pour les Mac, cette question a une réponse dure. Apple liste le VPN comme retiré de macOS Server 5.7.1, et l'application macOS Server elle-même a été abandonnée le 21 avril 2022 ; la page à lire quand un vieux tutoriel vous fait passer par une case de service VPN qui n'existe plus est l'avis d'historique du service.

Quand la première réponse est « quelqu'un de l'extérieur engage », cessez de chercher un commutateur dans le panneau client du Mac et choisissez l'hôte qui terminera le tunnel.

Où la passerelle peut vivre à la place

Quatre dispositions couvrent la plupart des cas domestiques et de petit bureau. Un routeur doté d'un vrai mode serveur, par opposition à un mode client sous une autre étiquette, termine le tunnel en bordure et garde le nombre d'hôtes bas, au prix d'un lien avec la prise en charge des protocoles de ce micrologiciel. Un NAS ou un mini-PC toujours allumé fait tourner le paquet serveur du fabricant et vous laisse des journaux lisibles. Une petite VM dans le cloud vous donne une adresse publique que vous contrôlez et joint la maison par un second tunnel. Un maillage construit sur WireGuard, ou un service géré qui relaie entre pairs, contourne la redirection de port entrante en faisant composer les deux extrémités vers l'extérieur.

La frontière entre ces options est généralement votre connexion internet, pas le logiciel. Si le fournisseur vous place derrière un NAT de niveau opérateur, aucune redirection de port sur le routeur ne produit de point d'entrée joignable, et la réponse honnête est une disposition avec relais ou maillage. Comparez l'adresse WAN que votre routeur rapporte avec l'adresse que voit le monde extérieur ; si elles diffèrent et que la valeur du routeur se situe dans une plage privée ou partagée, prévoyez le cas du relais.

Quel que soit l'hôte choisi, redirigez un protocole sur un port plutôt qu'une plage, et gardez le Mac hors du chemin entrant, sauf si ce produit précis documente un rôle de serveur pour la version de macOS que vous exécutez.

Confirmez le rôle avant de distribuer des profils

Sur la passerelle candidate, prouvez qu'un écouteur existe au lieu de croire que l'installateur en a créé un. Sur macOS, cela signifie sudo lsof -nP -iUDP filtré sur les ports ci-dessus, plus sudo pfctl -s nat si les règles du filtre de paquets font partie de la conception. Sur Linux, ss -lunp montre les mêmes faits sans ambiguïté.

Testez ensuite depuis l'extérieur du réseau, avec le protocole lui-même. Le ping prouve peu : ICMP est souvent filtré et ne dit rien d'UDP 51820. Une poignée de main cliente avec journalisation détaillée, lancée depuis un téléphone en données mobiles, est le test réel le moins cher parce qu'elle traverse le même chemin qu'un collègue distant.

C'est seulement ensuite que vous touchez aux profils clients. Sur le Mac, scutil --nc list imprime les services VPN que le système connaît ; si la passerelle que vous venez de construire n'en fait pas partie, vous configurez une autre machine que celle testée. Si la poignée de main réussit sur le LAN mais échoue depuis l'extérieur, la faute est dans le chemin entrant : règle NAT, CGNAT du fournisseur ou pare-feu sur la passerelle, dans cet ordre.

Avant de construire quoi que ce soit, tranchez quatre points :

• Quel côté engage la connexion, votre Mac ou un appareil distant.
• Si la version du système d'exploitation et le produit de l'hôte qui accepte prennent réellement en charge un rôle de serveur.
• Si votre fournisseur vous donne du tout une adresse publique joignable.
• Quel port et quel protocole uniques la passerelle acceptera, et quel service derrière répond.

L'étape suivante est concrète : choisissez l'hôte passerelle, confirmez son écouteur depuis l'extérieur, et seulement alors créez l'entrée client sur le Mac qui pointe vers elle.