A Mac VPN-beállításai nem indítanak szervert: hol lakik az átjáró

Két különböző munka viseli a VPN nevet a macOS-ben, és a beállítások panel csak az egyikkel foglalkozik. Ha azt akarja, hogy ennek a Macnek a forgalma szolgáltatón vagy távoli átjárón keresztül menjen ki, elég egy kliensbejegyzés. Ha szállodai szobából szeretné elérni az otthoni hálózatán a nyomtatót, a NAS-t vagy egy admin oldalt, akkor valaminek azon a hálózaton kívülről érkező kapcsolatokat kell fogadnia, és egy jelenlegi Mac alapból nem ez a valami. Három kérdés dönti el, melyik esetben van, és érdemes megválaszolni őket, mielőtt címet ír egy mezőbe.

A kliensbejegyzés célt nevez meg, nem figyelőt

A macOS Ventura és újabb rendszerek Beállítások > Hálózat > VPN szakaszán a régebbi kiadások Hálózat beállításai alatt tartott mezők azt írják le, hogyan lehet elérni valaki más végpontját: kiszolgálócím, távoli azonosító, fiók vagy tanúsítvány, és opcionális igény szerinti csatlakozási szabályok. A bejegyzés mentése egy kapcsolatot tárol a Mac hálózati konfigurációjában. A folyamatban semmi nem köt portot, nem nyit figyelőt és nem iratkoztat fel távoli felhasználót.

Ezt a héjból is ellenőrizheti. Azon a Macen, amelyről azt gyanítja, hogy kiszolgál, futtassa a sudo lsof -nP -iUDP parancsot, és keresse azokat a portokat, amelyeket a protokollja használ: 500 és 4500 az IKEv2-höz, 1194 az OpenVPN alapértelmezéséhez, 51820 a WireGuardhoz. Egy csak kliensként működő gép olyan socketeket mutat, amelyek távoli címhez és porthoz kapcsolódnak, nem pedig vadkártyás kötést, amelyet bármi elérhet az internetről. A Network Extension belsejében futó alagutak elrejtőzhetnek az lsof elől, ezért mindenképp ellenőrizze az alkalmazás saját állapotpaneljét is; amit nem fog megtalálni, az egy olyan Apple-beállítás, amely ezt a Macet átjáróvá teszi.

Három kérdés választja szét a két szerepet

Haladjon végig rajtuk sorrendben. Az első általában eldönti a többit, a harmadik pedig az a pont, ahol a legtöbb Mac-specifikus tervezés elszúródik.

1. Ki kezdi a beszélgetést? Ha a Mace kifelé tárcsáz és a másik fél válaszol, kliensre van szüksége. Ha az interneten lévő eszközöknek befelé kell tárcsázniuk, hogy elérjék a hálózatát, nyilvános belépési ponttal rendelkező átjáróra van szüksége, és a Mac maradhat annak az átjárónak a kliense.

2. Minek kell elérhetőnek lennie, miközben az alagút áll? Egy szolgáltatás egy gazdagépen portspecifikus továbbítási döntés. Egy teljes alhálózat, a névfeloldással együtt, útvonalválasztási és DNS-döntés, és ez megváltoztatja, mit kell az átjárónak továbbítania, nem pedig azt, mit mond a kliensbejegyzés.

3. Melyik operációsrendszer-kiadás futtatja a fogadó véget? A Macek esetében ennek a kérdésnek kemény válasza van. Az Apple a VPN-t eltávolítottként listázza a macOS Server 5.7.1-ből, és magát a macOS Server alkalmazást 2022. április 21-én megszüntették; a szolgáltatástörténeti közlemény az az oldal, amelyet el kell olvasni, amikor egy régi útmutató végigvezeti egy olyan VPN-szolgáltatás jelölőnégyzetén, amely már nem létezik.

Amikor az első válasz az, hogy „valaki kívülről kezdeményez”, hagyja abba a kapcsoló keresését a Mac klienspaneljén, és válassza ki azt a gazdagépet, amely lezárja az alagutat.

Hol lakhat az átjáró helyette

Négy elrendezés lefedi a legtöbb otthoni és kisirodai esetet. Egy valódi kiszolgáló üzemmódú router, szemben egy másik címkével ellátott kliens üzemmóddal, a peremen zárja le az alagutat, és alacsonyan tartja a gazdagépek számát, azzal az áron, hogy ahhoz a firmware-hez kötődik. Egy NAS vagy egy folyamatosan működő mini PC a gyártó kiszolgálócsomagját futtatja, és olvasható naplókat hagy maga után. Egy kis felhő-VM olyan nyilvános címet ad, amelyet Ön irányít, és egy második alagúton keresztül éri el az otthont. A WireGuardra épülő mesh átfedés, vagy egy kezelt szolgáltatás, amely a partnerek között továbbít, kikerüli a befelé irányuló porttovábbítást azzal, hogy mindkét vég kifelé tárcsáz.

Ezek között a lehetőségek között a határ általában az internetkapcsolat, nem a szoftver. Ha a szolgáltató carrier-grade NAT mögé tesz, semmilyen router-porttovábbítás nem hoz létre elérhető belépési pontot, és ilyenkor a továbbító vagy mesh elrendezés az őszinte válasz. Hasonlítsa össze a router által jelentett WAN-címet azzal a címmel, amelyet a külvilág lát; ha eltérnek, és a router értéke privát vagy megosztott tartományban van, tervezzen a továbbítós esetre.

Bármelyik gazdagépet választja, egy protokollt továbbítson egy porton, ne tartományt, és tartsa a Macet a bejövő útvonalon kívül, kivéve, ha az adott termék dokumentálja a kiszolgálószerepet az Ön által futtatott macOS-kiadáshoz.

A szerep megerősítése a profilok kiadása előtt

A jelölt átjárón bizonyítsa, hogy létezik figyelő, ahelyett hogy megbízna abban, hogy a telepítő létrehozott egyet. macOS-en ez a fenti portokra szűrt sudo lsof -nP -iUDP-et jelenti, valamint sudo pfctl -s nat-t, ha a csomagszűrő szabályok a terv részei. Linuxon a ss -lunp ugyanezeket a tényeket mutatja félreérthetetlenül.

Ezután teszteljen a hálózaton kívülről, magát a protokollt használva. A ping keveset bizonyít: az ICMP-t gyakran szűrik, és semmit nem mond az UDP 51820-ról. A részletes naplózással futó kliens-kézfogás, mobil adaton lévő telefonról indítva, a legolcsóbb valódi teszt, mert ugyanazon az útvonalon halad, amelyen egy távoli kolléga fog.

Csak ezután nyúljon a kliensprofilokhoz. A Macen a scutil --nc list kiírja a rendszer által ismert VPN-szolgáltatásokat; ha az imént épített átjáró nincs közöttük, akkor más gépet konfigurál, mint amelyet tesztelt. Ha a kézfogás a LAN-on sikerül, de kívülről nem, a hiba a bejövő útvonalban van: NAT-szabály, a szolgáltató CGNAT-ja vagy az átjáró tűzfala, ebben a sorrendben.

Mielőtt bármit építene, tisztázzon négy pontot:

• Melyik fél kezdeményezi a kapcsolatot, a Mace vagy egy távoli eszköz.
• A fogadó gazdagép operációsrendszer-kiadása és terméke valóban támogat-e kiszolgálószerepet.
• Ad-e egyáltalán a szolgáltatója elérhető nyilvános címet.
• Melyik egyetlen portot és protokollt fogadja az átjáró, és melyik szolgáltatás válaszol mögötte.

A következő lépés konkrét: válassza ki az átjáró gazdagépét, igazolja a figyelőjét kívülről, és csak azután hozza létre a Macen a rá mutató kliensbejegyzést.