Mac-VPN-ynstellingen starte gjin tsjinner: wêr't de gateway wennet

Twa ferskillende taken drage de namme VPN yn macOS, en it ynstellingspaniel behannelet mar ien fan beide. As jo wolle dat it ferkear fan dizze Mac fia in provider of in fiere gateway nei bûten giet, dan is in kliïntynfier genôch. As jo fan in hotelkeamer ôf de printer, de NAS of in admin-side op jo thúsnetwurk berikke wolle, dan moat eat yn dat netwurk ferbiningen fan bûten ôf akseptearje, en in hjoeddeiske Mac is dat eat net samar. Trije fragen meitsje dúdlik yn hokker gefal jo sitte, en it is de muoite wurdich om se te beäntwurdzjen foardat jo in adres yn in fjild type.

In kliïntynfier neamt in bestimming, gjin listener

Yn Systeemynstellingen > Netwurk > VPN op macOS Ventura en letter beskriuwe de fjilden dy't âldere ferzjes ûnder Netwurkfoarkarren hâlde, hoe't jo it einpunt fan in oar berikke: in tsjinneradres, in remote ID, in akkount of sertifikaat, en opsjonele regels foar ferbinen op oanfrege. It bewarjen fan dy ynfier slacht in ferbining op yn 'e netwurkkonfiguraasje fan jo Mac. Neat yn dat proses bûn in poarte, iepenet in listener of skriuwt in fiere brûker yn.

Jo kinne dit fan 'e shell ôf kontrolearje. Op in Mac wêrfan't jo fermoedzje dat dy tsjinnet, rin dan sudo lsof -nP -iUDP en sykje de poarten dy't jo protokol brûkt: 500 en 4500 foar IKEv2, 1194 foar de standert fan OpenVPN, 51820 foar WireGuard. In masine dy't allinnich kliïnt is, toant sockets keppele oan in fier adres en poarte, net in wildcard-bining dy't fan it ynternet ôf berikber is. Tunnels dy't yn in Network Extension rinne, kinne foar lsof ferskûle bliuwe, dus kontrolearje yn elts gefal ek it statuspaniel fan 'e app; wat jo net fine sille is in Apple-foarkar dy't dizze Mac yn 'e gateway feroaret.

Trije fragen skiede de beide rollen

Wurksje se yn folchoarder ôf. De earste beslisset meastentiids de rest, en by de tredde giet it faken mis by planning dy't spesifyk foar Mac is.

1. Wa begjint it petear? As jo Mac útskakelt en de oare kant antwurdet, dan hawwe jo in kliïnt nedich. As apparaten op it ynternet ynbelle moatte om jo netwurk te berikken, dan hawwe jo in gateway mei in iepenbier tagongspunt nedich, en de Mac kin kliïnt fan dy gateway bliuwe.

2. Wat moat berikber wêze wylst de tunnel iepen is? Ien tsjinst op ien host is in beslissing oer port-forwarding. In hiel subnet, namme-oplossing ynbegrepen, is in beslissing oer routing en DNS, en dy feroaret wat de gateway trochjaan moat, net wat de kliïntynfier seit.

3. Hokker OS-ferzje draait it akseptearjende ein? Foar Macs hat dy fraach in hurd antwurd. Apple neamt VPN as fuortsmiten út macOS Server 5.7.1, en de macOS Server-app sels waard op 21 april 2022 stopset; de notysje oer de tsjinstskiednis is de side om te lêzen as in âlde tutorial jo troch in kontrôlefak foar VPN-tsjinst liedt dat net mear bestiet.

As it earste antwurd “iemand fan bûten begjint” is, stop dan mei sykjen nei in skabelair yn it kliïntpaniel fan 'e Mac en kies de host dy't de tunnel beëinigje sil.

Wêr't de gateway ynstee wenje kin

Fjouwer regelingen dekke de measte gefallen thús en yn lytse kantoaren. In router mei in echte tsjinnermodus, yn tsjinstelling ta in kliïntmodus mei in oar label, beëiniget de tunnel oan 'e râne en hâldt it oantal hosts leech, tsjin de priis dat jo fêst sitte oan 'e protokolstipe fan dy firmware. In NAS of in mini-pc dy't altyd oan stiet draait it tsjinnerpakket fan 'e leveransier en lit jo logs efter dy't jo lêze kinne. In lytse cloud-VM jout jo in iepenbier adres dat jo sels beheare en berikt thús fia in twadde tunnel. In mesh-oerlaach boude op WireGuard, of in beheard tsjinst dy't tusken peers trochjout, omgiet yngeande port-forwarding troch beide einen útbelle te litten.

De grins tusken dy opsjes is meastentiids jo ynternetferbining, net de software. As de ISP jo efter carrier-grade NAT set, dan liedt gjin inkelde port-forwarding op 'e router ta in berikber tagongspunt, en dan is in relay- of mesh-regeling it earlike antwurd. Fergelykje it WAN-adres dat jo router rapporteart mei it adres dat de bûtenwrâld sjocht; as se ferskille en de wearde fan 'e router yn in privee- of dield berik leit, plan dan foar it relay-gefal.

Hokker host jo ek kieze, jou ien protokol troch op ien poarte yn stee fan in berik, en hâld de Mac bûten it yngeande paad, útsein as dat spesifike produkt in tsjinnerrol dokumintearret foar de macOS-ferzje dy't jo draaie.

Befêstigje de rol foardat jo profilen útdiele

Bewiis op 'e kandidaat-gateway dat in listener bestiet, yn stee fan te fertrouwen dat de ynstallearder ien makke hat. Op macOS betsjut dat sudo lsof -nP -iUDP filtere op 'e poarten hjirboppe, plus sudo pfctl -s nat as pakketfilterregels diel útmeitsje fan it ûntwerp. Op Linux lit ss -lunp deselde feiten sûnder twifel sjen.

Test dan fan bûten it netwurk ôf, mei it protokol sels. Ping bewiist net folle: ICMP wurdt faak filtere en seit neat oer UDP 51820. In kliïnt-hankshake mei wiidweidige logging, útfierd fan in tillefoan op mobyl data, is de goedkeapste echte test, want dy giet oer itselde paad as in kollega op ôfstân.

Pas dêrnei komme jo oan kliïntprofilen ta. Op 'e Mac printsjelet scutil --nc list de VPN-tsjinsten dy't it systeem ken; as de gateway dy't jo krekt boud hawwe der net tusken sit, dan konfigurearje jo in oare masine as dy't jo teste. As de hankshake op it LAN slagget mar fan bûten ôf mislearret, dan sit de flater yn it yngeande paad: NAT-regel, CGNAT fan 'e provider, of in firewall op 'e gateway, yn dy folchoarder.

Foardat jo eat bouwe, regelje fjouwer punten:

• Hokker kant de ferbining begjint, jo Mac of in apparaat op ôfstân.
• Oft de OS-ferzje en it produkt fan 'e akseptearjende host echt in tsjinnerrol stypje.
• Oft jo ISP jo oait in berikber iepenbier adres jout.
• Hokker ienige poarte en protokol de gateway akseptearret, en hokker tsjinst dêrefter antwurdet.

De folgjende stap is konkreet: kies de gateway-host, befêstigje de listener derfan fan bûten ôf, en meitsje dan de kliïntynfier op 'e Mac dy't dêrhinne wiist.