Ինչպես ընտրել Mac-ի VPN հաճախորդը ձեր արդեն ունեցած դարպասի համար

Ներբեռնման էջում հայտնվում են վեց Mac VPN հավելվածներ, և դրանցից ոչ մեկը չի ասում, թե որն է ընդունելու ձեր գործատուի դարպասը։ Սա խանութի բաց չէ, այլ հանձնման բաց։ Մեկ SSL VPN արտադրանքի ընտանիք է, ոչ թե արձանագրություն, ուստի նույնական մուտքի էկրանով երկու դարպաս կարող են տարբեր հաճախորդներ պահանջել։ Ահա այն հերթականությունը, որին հետևում եմ, երբ ինչ-որ մեկը ինձ է հանձնում Mac և սերվերի հասցե՝ պարզեք, թե ինչ է խոսում դարպասը, ընտրեք դրան համապատասխան հաճախորդը, ապա ստուգեք երթուղիներն ու DNS-ը, նախքան թունելին աշխատանք վստահելը։

Սկսեք դարպասից, ոչ թե հավելվածների խանութից

Հավելվածն աշխատում է ձեր Mac-ում, բայց մի ուրիշ բան պետք է ընդունի կապը և տա մուտք՝ դարպաս՝ օպերատորով, հասցեով, համատեղելի կարգավորումներով և ձեզ լիազորելու եղանակով։ Անվճար հաճախորդը կարող է լավ ծրագիր լինել և այդուհանդերձ դրանցից ոչ մեկը չտալ։ Աշխատանքային մուտքը, տնային դարպասը և առևտրային ինտերնետ ելքը երեք տարբեր մեկնարկային կետեր են, որոնք պատահաբար կիսում են մեկ ներբեռնման էջ։

Նախքան որևէ բան տեղադրելը կամ փոխարինելը, չորս պատասխան ստացեք ծառայությունը վարողից՝

• Մուտքի ռեժիմ՝ դիտարկիչի պորտալ, ընտրված հավելվածի հասանելիություն կամ ամբողջական ցանցային թունել։ Սա որոշում է, թե ընդհանրապես հաճախորդ պետք է։

• Դարպասի ընտանիքը և աջակցվող թողարկումը՝ արտադրանքը, միացված ծառայությունը և հաճախորդի այն տարբերակը, որը դեռ աջակցում է ձեր macOS-ի կառուցվածքին և Mac-ի սարքավորումին։

• Նույնականացում՝ գաղտնաբառ՝ MFA-ով, դիտարկիչով մուտք, սարքի վկայական կամ վիճակի ստուգում։ Հաստատված հոսք չունեցող հաճախորդը կմիանա, ապա կմերժվի։

• Սեփականություն՝ վստահելի ներբեռնման կամ կառավարման աղբյուրը, նախատեսված պրոֆիլը և այն, թե ով է աջակցում, երբ այն կոտրվում է։

Սեփականությունը այն կետն է, որը մարդիկ բաց են թողնում։ Կառավարվող Mac-ում պրոֆիլը հաճախ գալիս է կազմակերպության կառավարման համակարգով, և ձեռքով կառուցված կազմաձևը կարող է փոխարինվել հաջորդ ստուգման ժամանակ։ Հարցրեք՝ արդյոք ձեզնից սպասում են, որ ինքներդ ինչ-որ բան տեղադրեք, նախքան երրորդ կողմի հավելված փնտրելը։

SSL VPN-ը ընտանիքի պիտակ է, ոչ թե արձանագրություն

TLS-ը կարող է պաշտպանել կապը, մինչ դրա ներսում արտադրանքին հատուկ փոխանակումը զբաղվում է մուտքով, սեսիայի բաշխմամբ և թունելի երթևեկությամբ։ Հենց այդ ներքին փոխանակումն է, որ հաճախորդը պետք է իրականացնի։ Դարպասի HTTPS մուտքի էջին հասնող դիտարկիչը ապացուցում է վկայականների շղթան և վեբ սերվերը, բայց չի ապացուցում, որ անկապ VPN հավելվածը կարող է թունել կառուցել նույն մեքենային։

OpenConnect-ը ամենապարզ օրինակն է, որ գիտեմ։ Դրա վերին մակարդակի փաստաթղթերը թվարկում են առանձին արձանագրային ռեժիմներ տարբեր դարպասների ընտանիքների համար և առանձնացնում փոխգործակցությունը պաշտոնական մատակարարի աջակցությունից։ Եթե բոլոր SSL VPN-ները մեկ արձանագրություն խոսեին, այդ ռեժիմներն ավելորդ կլինեին։

OpenVPN պրոֆիլն ունի նույն սահմանափակումը հակառակ ուղղությամբ՝ այն ներմուծման ձևաչափ է OpenVPN-համատեղելի տեղակայման համար։ TLS-ը որպես շինարարական բլոկ կիսելը այն չի դարձնում կամայական ձեռնարկային դարպասի կարգավորումների ֆայլ։ Ահա թե ինչու աշխատող դիտարկիչի մուտքը կեղծ դրական է՝ պորտալի հասանելիությունը կարող է հաջողվել, երբ թունել չկա, և բարձրացած թունելը հետագայում դեռ կարող է մերժվել վիճակի ստուգմամբ։

Համապատասխանեցրեք հաճախորդը նրան, ինչ խոսում է դարպասը

Երբ ընտանիքը հայտնի է, ընտրությունը արագ նեղանում է։ Սա այն քարտեզագրումն է, որն առաջինն եմ ստուգում, և վերջին սյունակը ավելի կարևոր է, քան ցանկացած հավելվածի գնահատական։

Երկու տող արժանի են զգուշացման։ macOS-ի ներկառուցված հաճախորդը իրական IKEv2 իրականացում է, ոչ թե ընդհանուր SSL VPN հաճախորդ. դրա համար նախատեսված ծառայությանը պետք է ճիշտ պրոֆիլ, սպասվող սերվերի ինքնություն և հավատարմագրեր, և կառավարվող մեքենայում այդ պրոֆիլը կարող է կողպված լինել։ OpenConnect-ը մեկ բինարից ծածկում է մի քանի մատակարարի արձանագրություններ, բայց իր սեփական նախագիծը չի պնդում մատակարարի աջակցություն. հոսթի սկանավորումը, դարպասի կողմից ուղարկվող բաժանված թունելի կանոնները կամ որոշակի SSO հոսքը կարող են գոյություն ունենալ միայն մատակարարի հաճախորդում։

WireGuard-ն ունի նույն ձևը։ Ծառայությունը տալիս է հավասարակիցքեր, հաճախորդը տալիս է թունելը, և OpenVPN պրոֆիլը փոխարինող չէ։ Մեկ macOS ծալք. App Store-ի հաճախորդն իր թունելները պահում է ցանցային ընդլայնման մեջ, ուստի Homebrew գործիքներից wg show-ը կարող է ոչինչ չհաղորդել, մինչ ինտերֆեյսը ակտիվ է։ Փոխարենը ստուգեք երթուղիներով և երթևեկությամբ։

Կարգավորեք, ապա ստուգեք ֆիքսված հերթականությամբ

Տեղադրեք մեկ հաճախորդ և մեկ պրոֆիլ, և գրի առեք՝ ինչ եք փոխել։ Միանալուց առաջ վերցրեք ելակետային վիճակ, որպեսզի կարողանաք ասել, թե ինչ է փոխում թունելը՝

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Միացեք տրված պրոֆիլով և կրկնեք նույն հրամանները։ Ամբողջական թունելի դեպքում լռելյայն երթուղին պետք է ուղղվի utun ինտերֆեյսին. բաժանված թունելավորման դեպքում երթուղվեն միայն ներքին նախածանցերը, և ձեր հանրային ելքը պետք է անփոփոխ թվա։ DNS-ը այն կեսն է, որը սովորաբար մնում է կոտրված. scutil --dns-ը թվարկում է լուծիչները այն հերթականությամբ, որով համակարգը կօգտագործի դրանք, և հանրայինի տակ նստած ներքին լուծիչը ներքին անունները կուղարկի սխալ սերվերին։

OpenVPN ծառայության համար Tunnelblick-ը ողջամիտ անվճար հաճախորդ է, և նրա սեփական ուղեցույցը բացահայտ խոսում է բացակայող կեսի մասին. այն VPN ծառայություն չի տրամադրում։ Կրկնակի սեղմեք ձեզ տրված .ovpn-ի վրա, թույլ տվեք Tunnelblick-ին տեղադրել այն, և ստուգեք թողարկումը ձեր macOS տարբերակի հետ, նախքան դրա վրա հենվելը։

Մատակարարի դարպասի համար հաճախ փորձարկում եմ OpenConnect-ով հրամանի տողից՝

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Գործիքը տպում է ստացված վկայականը և սպասում, նախքան անհայտ շղթային վստահելը. այդ հուշումը առանձնահատկություն է, և --servercert pin-sha256:...-ով ամրացնելը ավելի լավ է, քան ընդունել զգուշացում, որը չեք կարդացել։ Ctrl-C-ն քանդում է թունելը, որովհետև առաջին պլանում աշխատող openconnect-ը չունի անջատիչ և վերամիացման տրամաբանություն։ Սա լավ է ախտորոշիչ սեանսի համար և վատ լռելյայն ամենօրյա աշխատանքի համար։

Երբ համապատասխանեցնելու դարպաս չկա

Ոմանք գալիս են հակառակ խնդրով. օպերատոր չկա, հասցե չկա, ծառայություն չկա։ Անվճար Mac հավելվածը չի կարող ներգնա հասանելիություն ստեղծել տնային երթուղիչում։ Եթե ուզում եք ձեր սեփական ցանցը հյուրանոցից, ինչ-որ մեկը պետք է տանը դարպաս վարի, այն կարկատի, հրապարակի կամ լուծի դրա հասցեն և որոշի, թե որ սարքերն են հասանելի։

Եթե ուզում եք այլ ինտերնետ ելք, այլ ոչ թե մուտք մասնավոր ցանց, ընտրեք ծառայությունը հաճախորդից առաջ։ Առանձին հաճախորդում դատարկ պրոֆիլների ցանկը հաճախ կոտրված անվճար բաժանորդագրություն չէ. կարող է բաժանորդագրություն ընդհանրապես չլինել, և սերվեր միացված չլինել։ Ծախսերն էլ առանձնացրեք. հաճախորդի լիցենզիան, ծառայության պլանը և ինքնուրույն վարվող դարպասը երեք տարբեր գնումներ են։

Աշխատանքային Mac-ը ավելացնում է քաղաքականության շերտ։ Անվճար հավելվածը կարող է սխալ լինել նույնիսկ երբ միանում է, որովհետև հաստատված հաճախորդը կարող է պարտադրել սարքի ստուգումներ կամ նույնականացման հոսք, որը այլընտրանքը չունի։ Խնդրեք հաստատված այլընտրանք՝ փոխարենը հավատարմագրեր պատճենելով անկապ հավելվածների միջև, և պլատֆորմի պաշտպանություններն անջատելը մի համարեք համատեղելիության լուծում։

Հեռավոր աշխատասեղանի դիտիչը նույնպես այլ արտադրանք է։ Այն ցույց է տալիս սեանս մեկ այլ համակարգչում. այն ձեր Mac-ի տեղական հավելվածներին չի տալիս այն ցանցային ուղին, որը տալիս է թունելը։

Կարճ ցանկ առաջին իրական սեանսից առաջ

Գրավոր նշեք դարպասի ընտանիքը և մուտքի ռեժիմը, տեղադրեք միայն դրանց համապատասխան հաճախորդը և գրանցեք օգտագործված պրոֆիլը։ Ապա իրական երթևեկությամբ հաստատեք երեք բան. թունելի տեղադրած երթուղիները, լուծիչների հերթականությունը և մեկ ներքին հավելված, որին հասել եք անունով, ոչ թե IP-ով։

Եթե ինչ-որ բան ձախողվում է, փոխեք մեկ փոփոխական միաժամանակ. հաճախորդ, պրոֆիլ, նույնականացման հոսք։ Էջը, որը բեռնվում է, մինչ թունելը հրաժարվում է սկսել, առանձնացնում է վեբ սերվերի խնդիրը հաճախորդի համատեղելիության խնդրից։ Երբ աշխատանքային ծառայությունը պատասխանում է, և հանրային ուղին իրեն պահում է սպասվածի պես, դուք ունեք անվանված, աջակցվող դասավորություն՝ ենթադրությունների կույտի փոխարեն։