તમારી પાસે પહેલેથી રહેલા ગેટવે માટે Mac VPN ક્લાયન્ટ કેવી રીતે પસંદ કરવો

ડાઉનલોડ પેજ પર છ Mac VPN એપ દેખાય છે અને તેમાંથી એક પણ કહેતી નથી કે તમારા એમ્પ્લોયરનો ગેટવે કઈ એપ સ્વીકારશે. આ સ્ટોરની ખામી નથી; આ હેન્ડઓફની ખામી છે. એક SSL VPN એ પ્રોટોકોલ નહીં પણ ઉત્પાદન કુટુંબ છે, તેથી સરખી લોગિન સ્ક્રીન ધરાવતા બે ગેટવેને અલગ ક્લાયન્ટની જરૂર પડી શકે. જ્યારે કોઈ મને Mac અને સર્વરનું સરનામું આપે ત્યારે હું આ ક્રમ વાપરું છું: ગેટવે શું બોલે છે તે નક્કી કરો, તેને મળતો ક્લાયન્ટ પસંદ કરો, અને પછી ટનલ પર કામનો ભરોસો મૂકતા પહેલાં રૂટ અને DNS ચકાસો.

એપ સ્ટોરથી નહીં, ગેટવેથી શરૂ કરો

એપ તમારા Mac પર ચાલે છે, પણ જોડાણ સ્વીકારીને પ્રવેશ આપવાનું બીજું કંઈક છે: ઓપરેટર, સરનામું, સુસંગત સેટિંગ્સ અને તમને અધિકૃત કરવાની રીત ધરાવતો ગેટવે. મફત ક્લાયન્ટ સારું સોફ્ટવેર હોઈ શકે અને છતાં એમાંથી એક પણ વસ્તુ આપતું ન હોય. કામનો પ્રવેશ, ઘરનો ગેટવે અને વ્યાવસાયિક ઇન્ટરનેટ આઉટલેટ એ ત્રણ અલગ શરૂઆત છે જે એક જ ડાઉનલોડ પેજ વહેંચે છે.

કંઈ પણ ઇન્સ્ટોલ કે બદલતા પહેલાં સેવા ચલાવનાર પાસેથી ચાર જવાબ મેળવો:

• પ્રવેશ મોડ: બ્રાઉઝર પોર્ટલ, પસંદ કરેલી એપ્લિકેશનનો પ્રવેશ કે સંપૂર્ણ નેટવર્ક ટનલ. આ નક્કી કરે છે કે તમને ક્લાયન્ટની જરૂર છે કે નહીં.

• ગેટવે કુટુંબ અને સમર્થિત આવૃત્તિ: ઉત્પાદન, સક્રિય સેવા અને એવી ક્લાયન્ટ આવૃત્તિ જે હજી તમારા macOS બિલ્ડ અને Mac હાર્ડવેરને ટેકો આપે.

• પ્રમાણીકરણ: પાસવર્ડ સાથે MFA, બ્રાઉઝર સાઇન-ઇન, ડિવાઇસ સર્ટિફિકેટ કે પોસ્ચર ચેક. મંજૂર પ્રવાહ વગરનો ક્લાયન્ટ જોડાશે અને પછી નકારવામાં આવશે.

• માલિકી: વિશ્વસનીય ડાઉનલોડ કે મેનેજમેન્ટ સ્રોત, ઇચ્છિત પ્રોફાઇલ અને તે તૂટે ત્યારે કોણ ટેકો આપે છે.

માલિકી એ વસ્તુ છે જે લોકો છોડી દે છે. મેનેજ કરેલા Mac પર પ્રોફાઇલ ઘણી વાર સંસ્થાની મેનેજમેન્ટ સિસ્ટમ દ્વારા આવે છે, અને હાથે બનાવેલી ગોઠવણી આગલી ચકાસણી વખતે બદલાઈ શકે છે. ત્રીજા પક્ષની એપ શોધતા પહેલાં પૂછો કે તમારે જાતે કંઈ ઇન્સ્ટોલ કરવાનું છે કે નહીં.

SSL VPN એ કુટુંબનું લેબલ છે, પ્રોટોકોલ નહીં

TLS જોડાણનું રક્ષણ કરી શકે છે જ્યારે તેની અંદર ઉત્પાદન-વિશિષ્ટ આદાનપ્રદાન લોગિન, સેશન ફાળવણી અને ટનલ ટ્રાફિક સંભાળે છે. એ આંતરિક આદાનપ્રદાન જ ક્લાયન્ટે અમલમાં મૂકવાનું હોય છે. ગેટવેના HTTPS લોગિન પેજ સુધી પહોંચતો બ્રાઉઝર સર્ટિફિકેટ શૃંખલા અને વેબ સર્વર સાબિત કરે છે; એ સાબિત કરતું નથી કે અસંબંધિત VPN એપ એ જ મશીન સુધી ટનલ બનાવી શકે.

OpenConnect મને ખબર હોય તેવું સૌથી સ્પષ્ટ ઉદાહરણ છે. તેનું અપસ્ટ્રીમ દસ્તાવેજીકરણ જુદા જુદા ગેટવે કુટુંબો માટે અલગ પ્રોટોકોલ મોડ ગણાવે છે અને આંતરક્રિયા શક્યતાને સત્તાવાર વેન્ડર ટેકાથી અલગ રાખે છે. જો દરેક SSL VPN એક જ પ્રોટોકોલ બોલતું હોત, તો એ મોડની જરૂર ન હોત.

OpenVPN પ્રોફાઇલની મર્યાદા બીજી બાજુથી એ જ છે: તે OpenVPN-સુસંગત ડિપ્લોયમેન્ટ માટેનું આયાત સ્વરૂપ છે. TLS ને મકાનની ઈંટ તરીકે વહેંચવાથી એ કોઈ પણ એન્ટરપ્રાઇઝ ગેટવે માટેની ગોઠવણી ફાઇલ બની જતું નથી. એટલે કે ચાલતું બ્રાઉઝર લોગિન ખોટો સંકેત છે: પોર્ટલનો પ્રવેશ સફળ થઈ શકે જ્યારે કોઈ ટનલ ન હોય, અને શરૂ થયેલી ટનલ પછી પોસ્ચર ચેક દ્વારા નકારી શકાય.

ગેટવે શું બોલે છે તેની સાથે ક્લાયન્ટ મેળવો

કુટુંબ ખબર પડે એટલે પસંદગી ઝડપથી સાંકડી થાય. આ એ મેપિંગ છે જે હું પહેલા ચકાસું છું, અને છેલ્લો સ્તંભ કોઈ પણ એપ રેટિંગ કરતાં વધુ મહત્ત્વનો છે.

બે પંક્તિઓ ચેતવણીને લાયક છે. macOS નો બિલ્ટ-ઇન ક્લાયન્ટ સાચો IKEv2 અમલ છે, સામાન્ય SSL VPN ક્લાયન્ટ નહીં: તેના માટે બનાવેલી સેવાને યોગ્ય પ્રોફાઇલ, અપેક્ષિત સર્વર ઓળખ અને ઓળખપત્રોની જરૂર છે, અને મેનેજ કરેલા મશીન પર એ પ્રોફાઇલ લોક થઈ શકે. OpenConnect એક જ બાઇનરીમાંથી અનેક વેન્ડર પ્રોટોકોલ આવરી લે છે, પણ તેનો પોતાનો પ્રોજેક્ટ વેન્ડર ટેકાનો દાવો કરતો નથી; હોસ્ટ સ્કેનિંગ, ગેટવે દ્વારા ધકેલાતા સ્પ્લિટ-ટનલ નિયમો કે ચોક્કસ SSO પ્રવાહ ફક્ત વેન્ડર ક્લાયન્ટમાં જ હોઈ શકે.

WireGuard નો આકાર પણ એ જ છે. સેવા પીઅર આપે છે, ક્લાયન્ટ ટનલ આપે છે, અને OpenVPN પ્રોફાઇલ તેનો વિકલ્પ નથી. macOS નો એક વળ છે: App Store ક્લાયન્ટ પોતાની ટનલને નેટવર્ક એક્સટેન્શન ની અંદર રાખે છે, તેથી Homebrew સાધનોમાંથી wg show ઇન્ટરફેસ ચાલુ હોવા છતાં કંઈ ન બતાવે. એના બદલે રૂટ અને ટ્રાફિકથી ચકાસો.

ગોઠવો, પછી નિશ્ચિત ક્રમમાં ચકાસો

એક ક્લાયન્ટ અને એક પ્રોફાઇલ ઇન્સ્ટોલ કરો, અને તમે શું બદલ્યું તેની નોંધ રાખો. જોડાતા પહેલાં આધારરેખા લો જેથી ટનલ શું બદલે છે તે તમે કહી શકો:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

આપેલી પ્રોફાઇલ સાથે જોડાઓ અને એ જ આદેશો ફરી ચલાવો. સંપૂર્ણ ટનલમાં ડિફોલ્ટ રૂટ utun ઇન્ટરફેસ તરફ હોવો જોઈએ; સ્પ્લિટ ટનલિંગમાં ફક્ત આંતરિક પ્રીફિક્સ રૂટ થવા જોઈએ અને તમારો જાહેર આઉટલેટ અબદલ દેખાવો જોઈએ. DNS એ અડધો ભાગ છે જે સામાન્ય રીતે તૂટેલો રહે છે: scutil --dns રિઝોલ્વરને સિસ્ટમ જે ક્રમમાં વાપરશે તે ક્રમમાં યાદી બનાવે છે, અને જાહેર રિઝોલ્વરની નીચે બેઠેલું આંતરિક રિઝોલ્વર આંતરિક નામોને ખોટા સર્વર પર મોકલશે.

OpenVPN સેવા માટે Tunnelblick વ્યાજબી મફત ક્લાયન્ટ છે, અને તેની પોતાની માર્ગદર્શિકા ખૂટતા અડધા ભાગ વિશે સ્પષ્ટ છે: તે VPN સેવા આપતું નથી. તમને આપેલી .ovpn ફાઇલ પર ડબલ ક્લિક કરો, Tunnelblick ને તે ઇન્સ્ટોલ કરવા દો, અને તેના પર ભરોસો કરતા પહેલાં આવૃત્તિને તમારા macOS સંસ્કરણ સામે ચકાસો.

વેન્ડર ગેટવે માટે હું ઘણી વાર કમાન્ડ લાઇનમાંથી OpenConnect થી પરીક્ષણ કરું છું:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

સાધન પ્રાપ્ત કરેલું સર્ટિફિકેટ છાપે છે અને અજાણી શૃંખલા પર ભરોસો કરતા પહેલાં રાહ જુએ છે; એ પ્રોમ્પ્ટ એક લક્ષણ છે, અને --servercert pin-sha256:... સાથે પિન કરવું એ તમે ન વાંચેલી ચેતવણી સ્વીકારવા કરતાં સારું છે. Ctrl-C ટનલ તોડી નાખે છે, કારણ કે ફોરગ્રાઉન્ડ openconnect માં કિલ સ્વિચ કે ફરી જોડાવાનું તર્ક નથી. નિદાન સત્ર માટે એ ઠીક છે અને રોજિંદા કામ માટે ખરાબ ડિફોલ્ટ છે.

જ્યારે મેળવવા જેવો કોઈ ગેટવે ન હોય

કેટલાક લોકો વિરુદ્ધ સમસ્યા લઈને આવે છે: કોઈ ઓપરેટર નહીં, સરનામું નહીં, સેવા નહીં. મફત Mac એપ ઘરના રાઉટર પર આવનારી પહોંચ બનાવી શકતી નથી. જો તમને હોટેલમાંથી તમારું પોતાનું નેટવર્ક જોઈએ, તો કોઈએ ઘરે ગેટવે ચલાવવો પડે, તેને પેચ કરેલો રાખવો પડે, તેનું સરનામું પ્રકાશિત કે ઉકેલવું પડે અને કયા ઉપકરણો સુધી પહોંચ છે તે નક્કી કરવું પડે.

જો તમને ખાનગી નેટવર્કની પહોંચને બદલે બીજું ઇન્ટરનેટ આઉટલેટ જોઈએ, તો ક્લાયન્ટ પહેલાં સેવા પસંદ કરો. સ્વતંત્ર ક્લાયન્ટમાં ખાલી પ્રોફાઇલ યાદી ઘણી વાર તૂટેલી મફત સબ્સ્ક્રિપ્શન નથી હોતી; કદાચ સબ્સ્ક્રિપ્શન જ નથી અને કોઈ સર્વર જોડાયેલું નથી. ખર્ચને પણ અલગ રાખો: ક્લાયન્ટ લાઇસન્સ, સેવા યોજના અને જાતે ચલાવેલો ગેટવે એ ત્રણ અલગ ખરીદીઓ છે.

કામનો Mac નીતિનું સ્તર ઉમેરે છે. મફત એપ જોડાય તો પણ ખોટી હોઈ શકે, કારણ કે મંજૂર ક્લાયન્ટ ઉપકરણ ચકાસણી કે એવો પ્રમાણીકરણ પ્રવાહ લાગુ કરી શકે જે વિકલ્પમાં નથી. અસંબંધિત એપ્સ વચ્ચે ઓળખપત્રો નકલ કરવાને બદલે મંજૂર વિકલ્પ માંગો, અને પ્લેટફોર્મ સંરક્ષણ બંધ કરવાને સુસંગતતાનો ઉપાય ન ગણો.

રિમોટ-ડેસ્કટોપ વ્યુઅર પણ અલગ ઉત્પાદન છે. તે તમને બીજા કમ્પ્યુટર પરનું સત્ર બતાવે છે; તે તમારા Mac ના સ્થાનિક એપ્લિકેશનોને ટનલ જેવો નેટવર્ક માર્ગ આપતું નથી.

પહેલા સાચા સત્ર પહેલાં ટૂંકી ચેકલિસ્ટ

ગેટવે કુટુંબ અને પ્રવેશ મોડ લખાણમાં નામ આપો, તેમને મળતો ક્લાયન્ટ જ ઇન્સ્ટોલ કરો, અને વાપરેલી પ્રોફાઇલ નોંધો. પછી સાચા ટ્રાફિક સાથે ત્રણ વસ્તુ ખાતરી કરો: ટનલે સ્થાપિત કરેલા રૂટ, રિઝોલ્વરનો ક્રમ, અને IP ને બદલે નામથી પહોંચતી એક આંતરિક એપ્લિકેશન.

જો કંઈ નિષ્ફળ જાય, તો એક વખતે એક ચલ બદલો: ક્લાયન્ટ, પ્રોફાઇલ, પ્રમાણીકરણ પ્રવાહ. ટનલ શરૂ થવાનો ઇનકાર કરે ત્યારે લોડ થતું પોર્ટલ વેબ-સર્વરની સમસ્યાને ક્લાયન્ટ-સુસંગતતાની સમસ્યાથી અલગ પાડે છે. કામની સેવા જવાબ આપે અને જાહેર માર્ગ અપેક્ષા મુજબ વર્તે એટલે તમારી પાસે અનુમાનોનો ઢગલો નહીં, પરંતુ નામવાળી, સમર્થિત ગોઠવણી હોય.