Hoe jo in Mac-VPN-klant kiest foar de gateway dy't jo al hawwe

Seis Mac-VPN-apps ferskine op in downloadside en gjinien seit hokker de gateway fan jo wurkjouwer akseptearret. Dat is gjin gat yn de winkel; it is in gat yn de oerdracht. In SSL VPN is in produktfamylje, net in protokoll, dus twa gateways mei identike oanmeldskermen kinne ferskillende klanten freegje. Dit is de folchoarder dy't ik brûk as immen my in Mac en in serveradres jout: fêststelle wat de gateway praat, de klant kieze dy't dêrby past, en dan rûtes en DNS kontrolearje foardat jo de tunnel wurk tabetrouwe.

Begjin by de gateway, net by de appwinkel

De app draait op jo Mac, mar eat oars moat de ferbining oanfurdigje en tagong jaan: in gateway mei in operator, in adres, kompatibele ynstellingen en in manier om jo te autorisearjen. In fergees klant kin goede software wêze en dochs neat dêrfan leverje. Wurktagong, in thúsgateway en in kommersjele ynternetútgong binne trije ferskillende útgongspunten dy't tafallich deselde downloadside diele.

Foardat jo eat ynstallearje of ferfange, helje fjouwer antwurden by wa't de tsjinst beheart:

• Tagongsmody: browserportaal, tagong ta selektearre applikaasjes of in folsleine netwurktunnel. Dat beslút oft jo überhaupt in klant nedich hawwe.

• Gateway-famylje en stipe ferzje: it produkt, de aktive tsjinst en in klantferzje dy't jo macOS-bou en Mac-hardware noch stipet.

• Autentikaasje: wachtwurd plus MFA, oanmelde yn de browser, apparaatsertifikaat of in postuerkontrôle. In klant sûnder de goedkarde stream sil ferbine en dan ôfwiisd wurde.

• Eigenskip: de fertroude download- of behearboarne, it bedoelde profyl en wa't it stipet as it brekt.

Eigenskip is it punt dat minsken oerslaan. Op in beheard Mac komt it profyl faak fia it behearsysteem fan de organisaasje, en in hânmjittich boude konfiguraasje kin by de folgjende kontrôle ferfongen wurde. Freegje oft fan jo ferwachte wurdt dat jo sels eat ynstallearje foardat jo in app fan tredden sykje.

SSL VPN is in famyljelabel, net in protokoll

TLS kin in ferbining beskermje, wylst in produktspesifike útwikseling binnenyn oanmelde, sesjetawizing en tunnelferkear beheart. Krekt dy ynterne útwikseling moat in klant ymplementearje. In browser dy't de HTTPS-aanmeldside fan de gateway berikt, bewiist de sertifikaatketen en de webserver; it bewiist net dat in net besibbe VPN-app in tunnel nei deselde masine bouwe kin.

OpenConnect is it dúdlikste foarbyld dat ik ken. Syn dokumintaasje fan it projekt listet aparte protokolmodi foar ferskillende gateway-famyljes en skiedt ynteroperabiliteit fan offisjele stipe fan de leveransier. As elke SSL VPN ien protokoll spruts, soene dy modi oerstallich wêze.

In OpenVPN-profyl hat deselde beheining oarsom: it is in ymportformaat foar in OpenVPN-kompatibele útrulling. Dielde TLS as boublok makket der gjin konfiguraasjebestân foar in willekeurige bedriuwsgateway fan. Dêrom is in wurkjende browseroanmelding in falsk posityf: portaaltoegong kin slagje wylst der gjin tunnel is, en in tunnel dy't omheech komt kin letter troch in postuerkontrôle ôfwiisd wurde.

Koppelje de klant oan wat de gateway praat

Sadree't de famylje bekend is, wurdt de kar gau smeller. Dit is de mapping dy't ik earst kontrolearje, en de lêste kolom telt mear as hokker app-beoardieling dan ek.

Twa rigen fertsjinje in warskôging. De ynboude macOS-klant is in echte IKEv2-ymplemintaasje, net in generike SSL VPN-klant: in tsjinst dy't dêrfoar ûntwurpen is, hat it krekte profyl, de ferwachte serveridentiteit en oanmeldgegevens nedich, en op in beheard masine kin dat profyl beskoattele wêze. OpenConnect dekt ferskate leveransierprotokollen út ien binêre bestân, mar it eigen projekt makket gjin oanspraak op leveransierstipe; hostskennen, troch de gateway opstjoerde regels foar split-tunnel of in bepaalde SSO-stream meie allinnich yn 'e leveransierklant bestean.

WireGuard hat deselde foarm. De tsjinst leveret peers, de klant leveret de tunnel, en in OpenVPN-profyl is gjin ferfanging. Ien macOS-details: de App Store-klant hâldt syn tunnels binnen in netwurkútwreiding, dus wg show út 'e Homebrew-ark kin neat melde wylst de ynterface aktyf is. Kontrolearje mei rûtes en ferkear.

Konfigurearje, kontrolearje dan yn in fêste folchoarder

Ynstallearje ien klant en ien profyl, en skriuw op wat jo feroare hawwe. Meitsje foar it ferbinen in basisliny om te sjen wat de tunnel feroaret:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Ferbynje mei it levere profyl en werhelje deselde opdrachten. By in folsleine tunnel moat de standertrûte nei in utun-ynterface wize; by split tunneling wurde allinnich de ynterne prefiksen rûte en moat jo iepenbiere útgong ûnferoare lykje. DNS is de helte dy't meastentiids stikken bliuwt: scutil --dns listet resolvers yn 'e folchoarder dy't it systeem brûkt, en in ynterne resolver ûnder in iepenbiere stjoert ynterne nammen nei de ferkearde server.

Foar in OpenVPN-tsjinst is Tunnelblick in ridlike fergees klant, en syn eigen gids is direkt oer de ûntbrekkende helte: it leveret gjin VPN-tsjinst. Dûbelklik op 'e .ovpn dy't jo krigen hawwe, lit Tunnelblick it ynstallearje, en kontrolearje de ferzje tsjin jo macOS-ferzje foardat jo der op fertrouwe.

Foar in leveransiergateway test ik faak mei OpenConnect fan de kommandorigel:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

It ark prints it ûntfongen sertifikaat en wachtet foardat it in unbekende keten fertrout; dy fraach is in funksje, en fêstspijkere mei --servercert pin-sha256:... is better as in warskôging akseptearje dy't jo net lêzen hawwe. Ctrl-C skuort de tunnel del, want in openconnect op 'e foargrûn hat noch in needstop noch werferbyningslogika. Dat is goed foar in diagnostyske sesje en in minne standert foar deistich wurk.

As der gjin gateway is om by te koppeljen

Guon komme mei it tsjinoerstelde probleem: gjin operator, gjin adres, gjin tsjinst. In fergees Mac-app kin gjin ynkommende berikberens op in thúsrouter meitsje. As jo jo eigen netwurk út in hotel wolle, moat immen thús in gateway driuwe, dy aktueel hâlde, syn adres publisearje of oplosse en beslute hokker apparaten berikber binne.

As jo in oare ynternetútgong wolle ynstee fan tagong ta in priveenetwurk, kies dan de tsjinst foar de klant. In lege profyllist yn in selsstannige klant is faak gjin brutsen fergees abonnemint; der is miskien gjin abonnemint en gjin ferbûne server. Hâld de kosten ek apart: in klantlisinsje, in tsjinstplan en in sels beheard gateway binne trije ferskillende oankeapen.

In wurk-Mac foeget in beliedslaach ta. In fergees app kin ferkeard wêze sels as it ferbynt, want de goedkarde klant kin apparaatkontrôles of in autentikaasjestream easkje dy't it alternatyf net hat. Freegje om in goedkard alternatyf ynstee fan oanmeldgegevens tusken net besibbe apps te kopiearjen, en behannelje it útskeakeljen fan platfoarmbeskerming net as in kompatibiliteitsreparaasje.

In remote-desktopbesjogger is ek in oar produkt. It lit jo in sesje op in oare kompjûter sjen; it jout de lokale apps fan jo Mac net it netwurkpaad dat in tunnel jout.

In koarte checklist foar de earste echte sesje

Nammje skriftlik de gateway-famylje en de tagongsmody, ynstallearje allinnich de klant dy't dêrby past en registrearje it brûkte profyl. Befêstigje dan trije dingen mei echt ferkear: de rûtes dy't de tunnel ynstallearre, de folchoarder fan de resolvers en ien ynterne app dy't jo by namme berikke, net by IP.

As eat mislearret, feroarje dan ien fariabele tagelyk: klant, profyl, autentikaasjestream. In portaal dat laden wurdt wylst de tunnel wegeret te starten, skiedt in webserverprobleem fan in klantkompatibiliteitsprobleem. As de wurktsjinst antwurdet en it iepenbiere paad him ferwachtet, hawwe jo in neamd en stipe regeling ynstee fan in heap gissingen.