Cara memilih klien VPN Mac untuk gateway yang sudah Anda punya

Enam aplikasi VPN Mac muncul di halaman unduhan dan tidak satu pun menyebut mana yang akan diterima gateway kantor Anda. Itu bukan celah di toko aplikasi; itu celah di serah terima. Sebuah SSL VPN adalah keluarga produk, bukan protokol, jadi dua gateway dengan layar masuk yang sama bisa memerlukan klien berbeda. Inilah urutan yang saya pakai ketika seseorang menyerahkan Mac dan alamat server kepada saya: pastikan apa yang dipakai gateway, pilih klien yang cocok, lalu verifikasi rute dan DNS sebelum Anda memercayakan pekerjaan pada terowongan itu.

Mulai dari gateway, bukan dari toko aplikasi

Aplikasi berjalan di Mac Anda, tetapi ada pihak lain yang harus menerima koneksi dan memberi akses: gateway dengan operator, alamat, setelan yang sesuai, dan cara memberi otorisasi kepada Anda. Klien gratis bisa jadi perangkat lunak yang baik dan tetap tidak menyediakan satu pun dari itu. Akses kerja, gateway rumah, dan pintu keluar internet komersial adalah tiga titik awal berbeda yang kebetulan berbagi satu halaman unduhan.

Sebelum memasang atau mengganti apa pun, dapatkan empat jawaban dari pihak yang menjalankan layanan:

• Mode akses: portal peramban, akses aplikasi terpilih, atau terowongan jaringan penuh. Ini menentukan apakah Anda perlu klien sama sekali.

• Keluarga gateway dan rilis yang didukung: produknya, layanan yang diaktifkan, dan versi klien yang masih mendukung versi macOS serta perangkat keras Mac Anda.

• Autentikasi: kata sandi dengan MFA, masuk lewat peramban, sertifikat perangkat, atau pemeriksaan postur. Klien tanpa alur yang disetujui akan terhubung lalu ditolak.

• Kepemilikan: sumber unduhan atau pengelolaan yang tepercaya, profil yang dimaksud, dan siapa yang mendukungnya saat rusak.

Kepemilikan adalah butir yang orang lewatkan. Di Mac yang dikelola, profil sering datang melalui sistem pengelolaan organisasi, dan konfigurasi buatan tangan bisa diganti pada pemeriksaan berikutnya. Tanyakan apakah Anda diharapkan memasang sesuatu sendiri sebelum mencari aplikasi pihak ketiga.

SSL VPN adalah label keluarga, bukan protokol

TLS dapat melindungi koneksi sementara pertukaran khusus produk di dalamnya menangani masuk, alokasi sesi, dan lalu lintas terowongan. Pertukaran dalam itulah yang harus diterapkan klien. Peramban yang mencapai halaman masuk HTTPS gateway membuktikan rantai sertifikat dan server web; itu tidak membuktikan bahwa aplikasi VPN yang tidak terkait dapat membangun terowongan ke mesin yang sama.

OpenConnect adalah contoh paling jelas yang saya tahu. Dokumentasi hulunya mencantumkan mode protokol terpisah untuk keluarga gateway berbeda dan memisahkan interoperabilitas dari dukungan resmi vendor. Jika setiap SSL VPN berbicara satu protokol, mode-mode itu tidak akan diperlukan.

Profil OpenVPN memiliki batas yang sama dari arah sebaliknya: itu format impor untuk penerapan yang kompatibel dengan OpenVPN. Berbagi TLS sebagai blok bangunan tidak mengubahnya menjadi berkas konfigurasi untuk gateway perusahaan sembarang. Itulah sebabnya login peramban yang berhasil adalah positif palsu: akses portal bisa berhasil sementara tidak ada terowongan, dan terowongan yang muncul tetap bisa ditolak oleh pemeriksaan postur di kemudian hari.

Cocokkan klien dengan apa yang dipakai gateway

Setelah keluarganya diketahui, pilihannya menyempit dengan cepat. Ini pemetaan yang saya periksa lebih dulu, dan kolom terakhir lebih penting daripada peringkat aplikasi mana pun.

Dua baris perlu peringatan. Klien bawaan macOS adalah implementasi IKEv2 sungguhan, bukan klien SSL VPN umum: layanan yang dirancang untuknya memerlukan profil yang benar, identitas server yang diharapkan, dan kredensial, dan pada mesin yang dikelola profil itu mungkin terkunci. OpenConnect mencakup beberapa protokol vendor dari satu biner, tetapi proyeknya sendiri tidak mengklaim dukungan vendor; pemindaian host, aturan terowongan terbelah yang dikirim gateway, atau alur SSO tertentu mungkin hanya ada di klien vendor.

WireGuard memiliki bentuk yang sama. Layanan menyediakan peer, klien menyediakan terowongan, dan profil OpenVPN bukan pengganti. Satu kerutan macOS: klien App Store menyimpan terowongannya di dalam Ekstensi Jaringan, jadi wg show dari perkakas Homebrew bisa melaporkan tidak ada apa-apa padahal antarmukanya aktif. Verifikasi dengan rute dan lalu lintas saja.

Konfigurasikan, lalu verifikasi dalam urutan tetap

Pasang satu klien dan satu profil, dan catat apa yang Anda ubah. Sebelum menyambung, ambil garis dasar agar Anda bisa menyebut apa yang diubah terowongan:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Sambungkan dengan profil yang diberikan dan ulangi perintah yang sama. Untuk terowongan penuh, rute default harus menunjuk ke antarmuka utun; dengan terowongan terbelah hanya prefiks internal yang dirutekan dan pintu keluar publik Anda harus tampak tidak berubah. DNS adalah separuh yang biasanya tetap rusak: scutil --dns mencantumkan resolver dalam urutan yang akan dipakai sistem, dan resolver internal yang berada di bawah resolver publik akan mengirim nama internal ke server yang salah.

Untuk layanan OpenVPN, Tunnelblick adalah klien tanpa biaya yang wajar, dan panduannya sendiri terus terang soal separuh yang hilang: ia tidak menyediakan layanan VPN. Klik dua kali .ovpn yang diberikan kepada Anda, biarkan Tunnelblick memasangnya, dan periksa rilisnya terhadap versi macOS Anda sebelum Anda mengandalkannya.

Untuk gateway vendor saya sering menguji dengan OpenConnect dari baris perintah:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Alat itu mencetak sertifikat yang diterimanya dan menunggu sebelum memercayai rantai yang tidak dikenal; permintaan itu adalah fitur, dan menyematkan dengan --servercert pin-sha256:... lebih baik daripada menerima peringatan yang tidak Anda baca. Ctrl-C memutus terowongan, karena openconnect di latar depan tidak punya kill switch dan tidak punya logika penyambungan ulang. Itu baik untuk sesi diagnostik dan default yang buruk untuk kerja harian.

Ketika tidak ada gateway untuk dicocokkan

Sebagian orang datang dengan masalah sebaliknya: tidak ada operator, tidak ada alamat, tidak ada layanan. Aplikasi Mac gratis tidak dapat menciptakan keterjangkauan masuk di router rumah. Jika Anda ingin jaringan Anda sendiri dari hotel, seseorang harus menjalankan gateway di rumah, menambal celahnya, menerbitkan atau menyelesaikan alamatnya, dan memutuskan perangkat mana yang terjangkau.

Jika Anda ingin pintu keluar internet yang berbeda alih-alih akses ke jaringan pribadi, pilih layanannya sebelum klien. Daftar profil kosong di klien mandiri sering bukan langganan gratis yang rusak; mungkin tidak ada langganan dan tidak ada server yang terpasang. Pisahkan juga biayanya: lisensi klien, paket layanan, dan gateway yang Anda operasikan sendiri adalah tiga pembelian berbeda.

Mac kerja menambahkan lapisan kebijakan. Aplikasi tanpa biaya bisa salah meski terhubung, karena klien yang disetujui mungkin menegakkan pemeriksaan perangkat atau alur autentikasi yang tidak dimiliki alternatifnya. Mintalah alternatif yang disetujui alih-alih menyalin kredensial antar aplikasi yang tidak terkait, dan jangan anggap menonaktifkan perlindungan platform sebagai perbaikan kompatibilitas.

Penampil desktop jarak jauh juga produk yang berbeda. Ia menunjukkan sesi di komputer lain; ia tidak memberi aplikasi lokal Mac Anda jalur jaringan yang disediakan terowongan.

Daftar periksa singkat sebelum sesi nyata pertama

Sebutkan keluarga gateway dan mode akses secara tertulis, pasang hanya klien yang cocok, dan catat profil yang Anda pakai. Lalu pastikan tiga hal dengan lalu lintas nyata: rute yang dipasang terowongan, urutan resolver, dan satu aplikasi internal yang dicapai dengan nama, bukan IP.

Jika ada yang gagal, ubah satu variabel setiap kali: klien, profil, alur autentikasi. Portal yang termuat sementara terowongan menolak mulai memisahkan masalah server web dari masalah kompatibilitas klien. Begitu layanan kerja menjawab dan jalur publik berperilaku seperti yang diharapkan, Anda punya pengaturan bernama dan didukung alih-alih setumpuk dugaan.