Mac-ի VPN կարգավորումները սերվեր չեն մեկնարկում. որտեղ է ապրում դարպասը

macOS-ում VPN անունը կրում են երկու տարբեր աշխատանք, և կարգավորումների վահանակը վարվում է միայն դրանցից մեկի հետ։ Եթե ցանկանում եք, որ այս Mac-ի թրաֆիկը դուրս գա մատակարարի կամ հեռավոր դարպասի միջով, ապա բավական է հաճախորդի գրառումը։ Եթե ցանկանում եք հյուրանոցային սենյակից հասնել տպիչին, NAS-ին կամ ձեր տնային ցանցի ադմինիստրատորի էջին, ապա այդ ցանցի ինչ-որ բան պետք է ընդունի դրսից եկող միացումներ, և ժամանակակից Mac-ը լռելյայն այդ ինչ-որ բանը չէ։ Երեք հարց որոշում է, թե որ դեպքում եք, և արժե դրանց պատասխանել նախքան դաշտում հասցե մուտքագրելը։

Հաճախորդի գրառումը նշում է նպատակակետ, ոչ թե լսող

macOS Ventura-ում և ավելի նոր տարբերակներում «Համակարգի կարգավորումներ > Ցանց > VPN» բաժնում այն դաշտերը, որոնք հին թողարկումները պահում են Ցանցի նախընտրություններում, նկարագրում են, թե ինչպես հասնել ուրիշի վերջնակետին՝ սերվերի հասցե, հեռավոր ID, հաշիվ կամ վկայական և կամընտիր պահանջով միացման կանոններ։ Այդ գրառումը պահելը միացում է պահում ձեր Mac-ի ցանցային կարգավորումներում։ Գործընթացում ոչինչ պորտ չի կապում, լսող չի բացում և հեռավոր օգտատեր չի գրանցում։

Դա կարող եք ստուգել shell-ից։ Այն Mac-ի վրա, որը կասկածում եք, թե սպասարկում է, գործարկեք sudo lsof -nP -iUDP և փնտրեք ձեր արձանագրության օգտագործած պորտերը՝ 500 և 4500 IKEv2-ի համար, 1194 OpenVPN-ի լռելյայնի համար, 51820 WireGuard-ի համար։ Միայն հաճախորդ հանդիսացող մեքենան ցույց է տալիս հեռավոր հասցեի և պորտի հետ զուգակցված սոքեթներ, այլ ոչ թե վայրի քարտի կապ, որին ինտերնետի ցանկացած բան կարող է հասնել։ Network Extension-ի ներսում աշխատող թունելները կարող են թաքնվել lsof-ից, այնպես որ ամեն դեպքում ստուգեք նաև հավելվածի կարգավիճակի վահանակը, քանի որ այն, ինչ չեք գտնի, Apple-ի այն նախընտրությունն է, որը այս Mac-ը դարպաս է դարձնում։

Երեք հարց բաժանում է երկու դերերը

Անցեք դրանց հերթով։ Առաջինը սովորաբար որոշում է մնացածը, իսկ երրորդն այն տեղն է, որտեղ Mac-ին հատուկ պլանավորման մեծ մասը սխալվում է։

1. Ով է սկսում զրույցը՞ Եթե ձեր Mac-ը դուրս է զանգահարում, և մյուս կողմը պատասխանում է, ձեզ պետք է հաճախորդ։ Եթե ինտերնետում գտնվող սարքերը պետք է ներս զանգահարեն, որպեսզի հասնեն ձեր ցանցին, ձեզ պետք է հանրային մուտքի կետով դարպաս, և Mac-ը կարող է մնալ այդ դարպասի հաճախորդը։

2. Ինչ պետք է հասանելի լինի, քանի դեռ թունելը բաց է՞ Մեկ հոսթի վրա մեկ ծառայությունը պորտերի փոխանցման որոշում է։ Ամբողջ ենթացանցը, ներառյալ անունների լուծումը, երթուղայնության և DNS-ի որոշում է, և դա փոխում է այն, ինչ դարպասը պետք է փոխանցի, այլ ոչ թե այն, ինչ ասում է հաճախորդի գրառումը։

3. Որ OS թողարկումն է աշխատեցնում ընդունող ծայրը՞ Mac-երի համար այդ հարցն ունի կոշտ պատասխան։ Apple-ը VPN-ը նշում է որպես macOS Server 5.7.1-ից հեռացված, և macOS Server հավելվածն ինքը դադարեցվել է 2022 թվականի ապրիլի 21-ին, և ծառայության պատմության ծանուցումը այն էջն է, որը պետք է կարդալ, երբ հին ձեռնարկը ձեզ տանում է VPN ծառայության այն վանդակով, որն այլևս գոյություն չունի։

Երբ առաջին պատասխանը «դրսից ինչ-որ մեկը սկսում է» է, դադարեք Mac-ի հաճախորդի վահանակում անջատիչ փնտրել և գնացեք ընտրելու այն հոսթը, որը կավարտի թունելը։

Որտեղ կարող է ապրել դարպասը փոխարենը

Չորս դասավորություն ծածկում են տնային և փոքր գրասենյակային դեպքերի մեծ մասը։ Իսկական սերվերի ռեժիմով երթուղիչը, ի տարբերություն այլ պիտակով հաճախորդի ռեժիմի, ավարտում է թունելը եզրին և ցածր է պահում հոսթերի քանակը, այն գնով, որ կապված եք այդ firmware-ի արձանագրային աջակցությանը։ NAS-ը կամ մշտապես միացված մինի ԱՀ-ն աշխատեցնում է արտադրողի սերվերի փաթեթը և ձեզ թողնում է ընթեռնելի մատյաններ։ Փոքր ամպային VM-ը ձեզ տալիս է ձեր վերահսկած հանրային հասցե և տուն հասնում է երկրորդ թունելով։ WireGuard-ի վրա կառուցված mesh ծածկույթը կամ հավասարների միջև փոխանցող կառավարվող ծառայությունը շրջանցում է ներս եկող պորտերի փոխանցումը՝ երկու ծայրերին էլ դուրս զանգահարել տալով։

Այդ տարբերակների միջև սահմանը սովորաբար ձեր ինտերնետ կապն է, ոչ թե ծրագիրը։ Եթե ISP-ն ձեզ դնում է օպերատորի մակարդակի NAT-ի հետևում, երթուղիչի պորտերի փոխանցման ոչ մի քանակություն հասանելի մուտքի կետ չի ստեղծում, և ազնիվ պատասխանը փոխանցիչով կամ mesh դասավորությունն է։ Համեմատեք ձեր երթուղիչի հաղորդած WAN հասցեն այն հասցեի հետ, որը տեսնում է արտաքին աշխարհը, և եթե դրանք տարբերվում են, և երթուղիչի արժեքը մասնավոր կամ ընդհանուր տիրույթում է, պլանավորեք փոխանցիչի դեպքի համար։

Ինչ հոսթ էլ ընտրեք, փոխանցեք մեկ արձանագրություն մեկ պորտով, այլ ոչ թե տիրույթ, և Mac-ը պահեք ներս եկող ուղուց դուրս, բացառությամբ այն դեպքի, երբ այդ կոնկրետ արտադրանքը փաստագրում է սերվերի դեր ձեր աշխատեցրած macOS թողարկման համար։

Հաստատեք դերը նախքան պրոֆիլներ տրամադրելը

Թեկնածու դարպասի վրա ապացուցեք, որ լսողը գոյություն ունի, այլ ոչ թե վստահեք, որ տեղադրիչը ստեղծել է այն։ macOS-ում դա նշանակում է վերը նշված պորտերով զտված sudo lsof -nP -iUDP, գումարած sudo pfctl -s nat, եթե փաթեթների զտման կանոնները դիզայնի մաս են։ Linux-ում ss -lunp ցույց է տալիս նույն փաստերը՝ առանց երկիմաստության։

Այնուհետև փորձարկեք ցանցից դուրս, օգտագործելով հենց արձանագրությունը։ Ping-ը քիչ բան է ապացուցում, քանի որ ICMP-ն հաճախ զտվում է և ոչինչ չի ասում UDP 51820-ի մասին։ Մանրամասն մատյանով հաճախորդի ձեռքսեղմումը, բջջային տվյալների վրա հեռախոսից գործարկված, ամենաէժան իրական փորձարկումն է, քանի որ այն անցնում է նույն ուղիով, ինչ հեռավոր գործընկերը։

Միայն դրանից հետո վերցրեք հաճախորդի պրոֆիլները։ Mac-ում scutil --nc list արտատպում է այն VPN ծառայությունները, որոնք համակարգը գիտի, և եթե հենց նոր կառուցված դարպասը նրանց մեջ չէ, դուք տարբեր մեքենա եք կարգավորում, քան փորձարկել եք։ Եթե ձեռքսեղմումը հաջողվում է LAN-ում, բայց ձախողվում դրսից, սխալը ներս եկող ուղու մեջ է՝ NAT կանոն, մատակարարի CGNAT կամ դարպասի firewall, այդ հերթականությամբ։

Նախքան ինչ-որ բան կառուցելը, պարզեք չորս կետ:

• Որ կողմն է սկսում միացումը, ձեր Mac-ը, թե հեռավոր սարքը։
• Արդյոք ընդունող հոսթի OS թողարկումը և արտադրանքը իրականում աջակցում են սերվերի դերին։
• Արդյոք ձեր ISP-ն ընդհանրապես տալիս է հասանելի հանրային հասցե։
• Որ մեկ պորտն ու արձանագրությունը կընդունի դարպասը, և որ ծառայությունն է պատասխանում դրա հետևում։

Հաջորդ քայլը կոնկրետ է՝ ընտրեք դարպասի հոսթը, հաստատեք նրա լսողը դրսից, և միայն դրանից հետո ստեղծեք Mac-ի վրա դեպի այն ուղղված հաճախորդի գրառումը։