As opcións de VPN do Mac non inician un servidor: onde vive a pasarela

Dous traballos distintos levan o nome VPN en macOS, e o panel de configuración só xestiona un deles. Se queres que o tráfico deste Mac saia por un provedor ou por unha pasarela remota, abonda cunha entrada de cliente. Se queres chegar á impresora, ao NAS ou a unha páxina de administración da túa rede doméstica desde unha habitación de hotel, algo nesa rede ten que aceptar conexións desde fóra, e un Mac actual non é ese algo de fábrica. Tres preguntas resolven en que caso estás, e paga a pena respondelas antes de escribir un enderezo nun campo.

Unha entrada de cliente nomea un destino, non un escoitador

En Axustes do Sistema > Rede > VPN en macOS Ventura e posteriores, os campos que as versións anteriores manteñen en Preferencias de Rede describen como chegar á extremidade doutra persoa: un enderezo de servidor, un ID remoto, unha conta ou certificado, e regras opcionais de conexión baixo demanda. Gardar esa entrada almacena unha conexión na configuración de rede do teu Mac. Nada no proceso liga un porto, abre un escoitador ou rexistra un usuario remoto.

Podes comprobalo desde a shell. Nun Mac que sospeites que está a servir, executa sudo lsof -nP -iUDP e busca os portos que usa o teu protocolo: 500 e 4500 para IKEv2, 1194 para o estándar de OpenVPN, 51820 para WireGuard. Unha máquina que só é cliente mostra sockets emparellados cun enderezo e porto remotos, non unha ligazón comodín que calquera cousa de internet poida acadar. Os túneles que corren dentro dunha Network Extension poden ocultarse de lsof, así que comproba tamén o panel de estado da aplicación; o que non atoparás é unha preferencia de Apple que converta este Mac na pasarela.

Tres preguntas separan os dous papeis

Resólveas por orde. A primeira adoita decidir o resto, e a terceira é onde falla a maior parte da planificación específica de Mac.

1. Quen comeza a conversa? Se o teu Mac marca e o outro lado responde, precisas un cliente. Se os dispositivos de internet deben marcar para chegar á túa rede, precisas unha pasarela cun punto de entrada público, e o Mac pode seguir sendo cliente desa pasarela.

2. Que ten que ser accesible mentres o túnel está activo? Un servizo nun equipo é unha decisión de reenvío de portos. Unha subrede completa, incluída a resolución de nomes, é unha decisión de encamiñamento e DNS, e cambia o que a pasarela debe reenviar, non o que di a entrada de cliente.

3. Que versión do sistema executa a extremidade que acepta? Para os Mac esa pregunta ten unha resposta dura. Apple lista VPN como eliminada de macOS Server 5.7.1, e a propia aplicación macOS Server deixou de existir o 21 de abril de 2022; o aviso do historial do servizo é a páxina que hai que ler cando un tutorial antigo che amosa unha caixa de servizo de VPN que xa non existe.

Cando a primeira resposta é “alguén de fóra inicia”, deixa de buscar un interruptor no panel de cliente do Mac e vai escoller o equipo que rematará o túnel.

Onde pode vivir a pasarela no seu lugar

Catro disposicións cobren a maioría dos casos domésticos e de pequena oficina. Un router cun modo servidor real, en lugar dun modo cliente con outra etiqueta, remata o túnel no bordo e mantén baixo o número de equipos, a costa de quedar atado ao soporte de protocolos dese firmware. Un NAS ou un mini PC sempre aceso executa o paquete de servidor do fabricante e déixache rexistros que podes ler. Unha pequena VM na nube dache un enderezo público que controlas e chega á casa por un segundo túnel. Unha malla sobre WireGuard, ou un servizo xestionado que retransmite entre pares, evita o reenvío de portos entrante facendo que ambos extremos marquen cara a fóra.

A fronteira entre esas opcións adoita ser a túa conexión a internet, non o software. Se o ISP te sitúa detrás de NAT de grao portador, ningún reenvío de portos no router produce un punto de entrada accesible, e unha solución de retransmisión ou malla é a resposta honesta. Compara o enderezo WAN que informa o teu router co enderezo que ve o mundo exterior; se difiren e o valor do router está nun rango privado ou compartido, planifica o caso de retransmisión.

Escollas o equipo que escollas, reenvía un protocolo nun porto en vez dun rango, e mantén o Mac fóra do camiño de entrada salvo que ese produto concreto documente un papel de servidor para a versión de macOS que executas.

Confirma o papel antes de repartir perfís

No equipo candidato a pasarela, demostra que existe un escoitador en vez de confiar en que o instalador creou un. En macOS iso significa sudo lsof -nP -iUDP filtrado aos portos anteriores, máis sudo pfctl -s nat se as regras de filtro de paquetes forman parte do deseño. En Linux, ss -lunp mostra os mesmos feitos sen ambigüidade.

Despois proba desde fóra da rede, usando o propio protocolo. Ping demostra pouco: ICMP normalmente fístrase e non di nada sobre UDP 51820. Unha negociación de cliente con rexistro detallado, executada desde un teléfono con datos móbiles, é a proba real máis barata porque percorre o mesmo camiño que un compañeiro remoto.

Só despois tocas os perfís de cliente. No Mac, scutil --nc list imprime os servizos VPN que o sistema coñece; se a pasarela que acabas de construír non está entre eles, estás configurando unha máquina distinta da que probaches. Se a negociación funciona na LAN pero falla desde fóra, a avaría está no camiño de entrada: regra NAT, CGNAT do provedor ou cortalumes na pasarela, nesa orde.

Antes de construír nada, resolve catro puntos:

• Que lado inicia a conexión, o teu Mac ou un dispositivo remoto.
• Se a versión do sistema e o produto do equipo que acepta soportan realmente un papel de servidor.
• Se o teu ISP che dá sequera un enderezo público accesible.
• Que único porto e protocolo aceptará a pasarela, e que servizo detrás responde.

O seguinte paso é concreto: escolle o equipo pasarela, confirma o seu escoitador desde fóra, e só entón crea a entrada de cliente no Mac que apunta a el.