Conas cliant Mac VPN a roghnú don gheata atá agat cheana féin

Taispeántar sé aip Mac VPN ar leathanach íoslódála agus ní deir aon cheann acu cé acu a nglacfaidh geata d'fhostóra. Ní bearna sa siopa é sin; bearna san aistriú é. SSL VPN Is teaghlach táirgí é, ní prótacal, mar sin d'fhéadfadh dhá gheata a bhfuil scáileáin sínithe isteach chomhionanna acu cliaint éagsúla a éileamh. Seo an t-ord a úsáidim nuair a thugann duine Mac agus seoladh freastalaí dom: faigh amach cad a labhraíonn an geata, roghnaigh an cliant a oireann dó, ansin fíoraigh bealaí agus DNS sula gcuireann tú muinín as an tollán le hobair.

Tosaigh leis an ngeata, ní leis an siopa aipeanna

Ritheann an aip ar do Mac, ach caithfidh rud éigin eile an nasc a ghlacadh agus rochtain a thabhairt: geata a bhfuil oibreoir, seoladh, socruithe comhoiriúnacha agus bealach chun tú a údarú aige. Is féidir le cliant saor in aisce bogearraí maithe a bheith ann agus fós aon cheann díobh sin a sholáthar. Is trí phointe tosaigh éagsúla iad rochtain oibre, geata baile agus bealach amach tráchtála idirlín a roinneann leathanach íoslódála amháin trí chumhaisc.

Sula suiteálann tú nó sula n-athshocraíonn tú rud ar bith, faigh ceithre fhreagra ón té a riarann an tseirbhís:

• Mód rochtana: tairseach bhrabhsálaí, rochtain ar aipeanna roghnaithe nó tollán líonra iomlán. Cinneann sé sin an bhfuil cliant de dhíth ort ar chor ar bith.

• Teaghlach an gheata agus an leagan a thacaítear leis: an táirge, an tseirbhís ghníomhach agus leagan cliaint a thacaíonn fós le do thógáil macOS agus le crua-earraí Mac.

• Fíordheimhniú: focal faire móide MFA, síniú isteach sa bhrabhsálaí, deimhniú gléis nó seiceáil staide. Cliant gan an sreabhadh ceadaithe, nascfaidh sé agus ansin diúltófar dó.

• Úinéireacht: an fhoinse íoslódála nó bainistíochta iontaofa, an phróifíl atá beartaithe agus cé a thacaíonn léi nuair a bhriseann sí.

Is í an úinéireacht an mhír a scipeálann daoine. Ar Mac bainistithe tagann an phróifíl go minic trí chóras bainistíochta na heagraíochta, agus is féidir cumraíocht a tógadh de láimh a athsholáthar ag an gcéad seiceáil eile. Fiafraigh an bhfuiltear ag súil go suiteálfaidh tú rud éigin tú féin sula lorgaíonn tú aip tríú páirtí.

Is lipéad teaghlaigh é SSL VPN, ní prótacal

Is féidir le TLS nasc a chosaint agus malartú táirge-shonrach istigh ann ag láimhseáil sínithe isteach, leithdháileadh seisiún agus trácht an tolláin. Is é an malartú inmheánach sin a chaithfidh cliant a chur i bhfeidhm. Cruthaíonn brabhsálaí a shroicheann leathanach sínithe HTTPS an gheata an slabhra deimhnithe agus an freastalaí gréasáin; ní chruthaíonn sé gur féidir le haip VPN neamhghaolmhar tollán a thógáil chuig an meaisín céanna.

Is é OpenConnect an sampla is soiléire atá ar eolas agam. Liostaíonn a dhoiciméadú tionscadail modhanna prótacail ar leithligh do theaghlaigh gheata éagsúla agus scarann sé idir-inoibritheacht ó thacaíocht oifigiúil an díoltóra. Dá labhródh gach SSL VPN prótacal amháin, bheadh na modhanna sin gan ghá.

Tá an teorainn chéanna ag próifíl OpenVPN sa treo eile: formáid allmhairithe í do imscaradh atá comhoiriúnach le OpenVPN. Ní dhéanann TLS comhroinnte mar bhloc tógála de chomhad cumraíochta do gheata fiontraíochta treallach. Sin é an fáth gur bréagdheimhniú é síniú isteach brabhsálaí a oibríonn: féadann rochtain tairsí éirí as a chéile gan tollán ar bith, agus féadann seiceáil staide tollán a thagann aníos a dhiúltú níos déanaí.

Meaitseáil an cliant leis an rud a labhraíonn an geata

Nuair a bhíonn an teaghlach ar eolas, cúngaíonn an rogha go tapa. Seo an mhapáil a sheiceáilim ar dtús, agus tá an colún deireanach níos tábhachtaí ná aon rátáil aipe.

Tá dhá ró ar fiú rabhadh a thabhairt fúthu. Is fíorfheidhmiú IKEv2 é cliant ionsuite macOS, ní cliant SSL VPN ginearálta: teastaíonn an phróifíl cheart, aitheantas freastalaí ionchais agus creidúintí ó sheirbhís a dearadh dó, agus ar mheaisín bainistithe féadann an phróifíl sin a bheith faoi ghlas. Clúdaíonn OpenConnect roinnt prótacal díoltóra ó dhénártha amháin, ach ní éilíonn a thionscadal féin tacaíocht díoltóra; b'fhéidir nach bhfuil scanadh óstach, rialacha tolláin scoite a bhrúnn an geata nó sreabhadh SSO áirithe ann ach i gcliant an díoltóra.

Tá an chruth chéanna ar WireGuard. Soláthraíonn an tseirbhís piaranna, soláthraíonn an cliant an tollán, agus ní ionadaí é próifíl OpenVPN. Mioneolas macOS: coinníonn cliant an App Store a tholláin taobh istigh de shíneadh líonra, mar sin b'fhéidir nach dtaispeánfaidh wg show ó uirlisí Homebrew aon rud agus an chomhéadan suas. Fíoraigh le bealaí agus trácht ina ionad.

Cumraigh, ansin fíoraigh in ord seasta

Suiteáil cliant amháin agus próifíl amháin, agus coinnigh nóta de cad a d'athraigh tú. Sula nascann tú, glac bonnlíne ionas gur féidir leat a fheiceáil cad a athraíonn an tollán:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Nasc leis an bpróifíl a soláthraíodh agus déan na horduithe céanna arís. I dtollán iomlán ba cheart an bealach réamhshocraithe a bheith dírithe ar chomhéadan utun; le tollán scoite níor cheart ach na réimíreanna inmheánacha a bheith ródaithe agus ba cheart do bhealach amach poiblí breathnú gan athrú. Is é DNS an leath a fhanann briste go minic: liostaíonn scutil --dns réitigh san ord a n-úsáidfidh an córas iad, agus seolfaidh réiteach inmheánach faoi cheann poiblí ainmneacha inmheánacha chuig an bhfreastalaí mícheart.

Do sheirbhís OpenVPN, is cliant réasúnta saor in aisce é Tunnelblick, agus tá a threoir féin díreach faoin leath atá ar iarraidh: ní sholáthraíonn sé seirbhís VPN. Cliceáil faoi dhó ar an .ovpn a tugadh duit, lig do Tunnelblick é a shuiteáil, agus seiceáil an leagan i gcoinne do leagain macOS sula mbíonn tú ag brath air.

Do gheata díoltóra is minic a thástáilim le OpenConnect ón líne ordaithe:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Priontálann an uirlis an deimhniú a fuair sé agus fanann sé sula gcuireann sé muinín i slabhra anaithnid; is gné é an leid sin, agus is fearr pinnáil le --servercert pin-sha256:... ná rabhadh nár léigh tú a ghlacadh. Scartálann Ctrl-C an tollán, mar níl aon mhúchtóir ná loighic athnascaithe ag openconnect sa tulra. Tá sin go maith do sheisiún diagnóiseach agus go dona mar réamhshocrú don obair laethúil.

Nuair nach bhfuil geata ann le meaitseáil

Tagann daoine áirithe leis an bhfadhb eile: gan oibreoir, gan seoladh, gan tseirbhís. Ní féidir le haip Mac saor in aisce infhaighteacht isteach a chruthú ar ródaire baile. Más mian leat do líonra féin ó óstán, caithfidh duine geata a rith sa bhaile, é a choinneáil nuashonraithe, a sheoladh a fhoilsiú nó a réiteach agus a chinneadh cé na gléasanna atá inrochtana.

Más bealach amach idirlín éagsúil atá uait seachas rochtain ar líonra príobháideach, roghnaigh an tseirbhís roimh an gcliant. Is minic nach suibscríobh saor in aisce briste é liosta próifíl folamh i gcliant neamhspleách; b'fhéidir nach bhfuil suibscríobh ná freastalaí ceangailte ann. Coinnigh na costais scartha freisin: is trí cheannachán éagsúla iad ceadúnas cliaint, plean seirbhíse agus geata féin-riartha.

Cuireann Mac oibre ciseal beartais leis. Is féidir le haip saor in aisce a bheith mícheart fiú nuair a nascann sí, mar d'fhéadfadh an cliant ceadaithe seiceálacha gléis nó sreabhadh fíordheimhnithe a fhorchur nach bhfuil ag an rogha eile. Iarr rogha cheadaithe in ionad creidúintí a chóipeáil idir aipeanna neamhghaolmhara, agus ná déan de dhíchumasú chosaintí an ardáin réiteach comhoiriúnachta.

Is táirge eile freisin é amharcán deisce cianda. Taispeánann sé seisiún ar ríomhaire eile duit; ní thugann sé donaip áitiúla do Mac an bealach líonra a thugann tollán.

Seicliosta gairid roimh an gcéad seisiún fíor

Ainmnigh i scríbhinn teaghlach an gheata agus an mód rochtana, suiteáil an cliant a oireann dóibh amháin agus taifead an phróifíl a d'úsáid tú. Ansin deimhnigh trí rud le trácht fíor: na bealaí a shuiteáil an tollán, ord na réiteach agus aip inmheánach amháin a shroichtear de réir ainme, ní de réir IP.

Má theipeann ar rud éigin, athraigh athróg amháin ag an am: cliant, próifíl, sreabhadh fíordheimhnithe. Scarann tairseach a luchtaíonn agus an tollán ag diúltú tosú fadhb fhreastalaí gréasáin ó fhadhb chomhoiriúnachta cliaint. Nuair a fhreagraíonn an tseirbhís oibre agus nuair a iompraíonn an bealach poiblí mar a bhíothas ag súil leis, tá socrú ainmnithe agus tacaíocht agat in ionad carn buanna.