Hvernig á að velja Mac VPN-biðlara fyrir gáttina sem þú hefur þegar

Sex Mac VPN-forrit birtast á niðurhalasíðu og ekkert þeirra segir hvaða forrit gátt vinnuveitandans tekur. Það er ekki skarð í versluninni; það er skarð í afhendingunni. Eitt SSL VPN er vörufjölskylda, ekki samskiptaregla, svo tvær gáttir með eins innskráningarskjá geta þurft mismunandi biðlara. Þetta er röðin sem ég nota þegar einhver réttir mér Mac og netfang þjóns: komdu á hreint hvað gáttin talar, veldu biðlarann sem passar við það, og staðfestu síðan leiðir og DNS áður en þú treystir göngunni fyrir vinnu.

Byrjaðu á gáttinni, ekki forritaversluninni

Forritið keyrir á Macnum þínum, en eitthvað annað verður að taka við tengingunni og veita aðgang: gátt með rekstraraðila, netfang, samhæfðar stillingar og leið til að heimila þig. Ókeypis biðlari getur verið góður hugbúnaður og samt ekki veitt neitt af þessu. Vinnaaðgangur, heimagátt og verslunarlegur internetútgangur eru þrjár mismunandi byrjanir sem eiga það til að deila einni niðurhalasíðu.

Áður en þú setur upp eða skiptir um eitthvað skaltu fá fjögur svör frá þeim sem rekur þjónustuna:

• Aðgangsháttur: vafragátt, aðgangur að völdu forriti eða heil netgöng. Þetta ræður því hvort þú þarft biðlara yfirleitt.

• Gáttafjölskylda og studd útgáfa: varan, þjónustan sem er virk og biðlarútgáfa sem enn styður macOS-útgáfuna þína og Mac-vélbúnaðinn.

• Auðkenning: lykilorð með MFA, innskráning í vafra, tækisskírteini eða ástandsathugun. Biðlari sem skortir samþykkt flæði tengist og verður síðan hafnað.

• Eignarhald: traust niðurhals- eða stjórnunarlind, ætlað snið og hver styður það þegar það brestur.

Eignarhald er atriðið sem fólk sleppir. Á stýrðum Mac kemur sniðið oft í gegnum stjórnkerfi stofnunarinnar, og handbyggð stilling getur verið skipt út við næstu athugun. Spurðu hvort ætlast sé til að þú setjir eitthvað upp sjálf áður en þú ferð að leita að forriti frá þriðja aðila.

SSL VPN er fjölskyldumerki, ekki samskiptaregla

TLS getur varið tengingu á meðan vörusértæk skipti inni í henni sjá um innskráningu, úthlutun lota og gönguumferð. Þau innri skipti eru það sem biðlari verður að útfæra. Vafri sem nær HTTPS-innskráningarsíðu gáttarinnar sannar skírteinakeðjuna og vefþjóninn; hann sannar ekki að ótengt VPN-forrit geti byggt göng að sömu vél.

OpenConnect er skýrasta dæmið sem ég þekki. Skjölunin hjá uppstreyminu telur upp aðskilda samskiptahætti fyrir mismunandi gáttafjölskyldur og aðskilur samvirkni frá opinberum stuðningi seljanda. Ef hvert SSL VPN talaði eina samskiptareglu væru þessir hættir óþarfir.

OpenVPN-snið hefur sömu takmörkun í hina áttina: það er innflutningssnið fyrir OpenVPN-samhæfa uppsetningu. Að deila TLS sem byggingareiningu gerir það ekki að stillingaskrá fyrir hvaða fyrirtækjagátt sem er. Þess vegna er virk vafrainnskráning falsk jákvæð niðurstaða: aðgangur að gátt getur tekist þótt engin göng séu til, og göng sem rísa geta samt verið hafnað af ástandsathugun síðar.

Lagaðu biðlarann að því sem gáttin talar

Þegar fjölskyldan er þekkt þrengist valið fljótt. Þetta er vörpunin sem ég athuga fyrst, og síðasti dálkurinn skiptir meira máli en hvaða forritseinkunn sem er.

Tvær línur eiga skilið viðvörun. Innbyggði macOS-biðlarinn er raunveruleg IKEv2-útfærsla, ekki almennur SSL VPN biðlari: þjónusta sem er hönnuð fyrir hann þarf rétt snið, vænt auðkenni þjóns og skírteini, og á stýrðri vél getur það snið verið læst. OpenConnect nær yfir nokkrar samskiptareglur seljenda úr einni keyrsluskrá, en verkefnið sjálft gerir ekki kröfu um stuðning seljanda; hýsilskönnun, göngureglur sem gáttin ýtir á eða tiltekið SSO-flæði geta aðeins verið í biðlara seljandans.

WireGuard hefur sömu lögun. Þjónustan veitir jafningja, biðlarinn veitir göngin, og OpenVPN-snið kemur ekki í staðinn. Ein macOS-hrukka: App Store biðlarinn heldur göngunum sínum inni í netlengingu, svo wg show úr Homebrew-verkfærum getur ekkert sagt á meðan viðmótið er virkt. Staðfestu frekar með leiðum og umferð.

Stilltu, og staðfestu síðan í föstum röðum

Settu upp einn biðlara og eitt snið, og skrifaðu hjá þér hvað þú breyttir. Áður en þú tengist skaltu taka grunnlínu svo þú getir sagt hvað göngin breyta:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Tengstu með sniðinu sem þú fékkst og endurtaktu sömu skipanir. Fyrir heil göng ætti sjálfgefna leiðin að vísa á utun-viðmót; með klofnum göngum ættu aðeins innri forskeytin að vera á leið og almennur útgangur þinn ætti að líta óbreyttur út. DNS er sá helmingur sem venjulega verður eftir í ólagi: scutil --dns listar upp leysana í þeirri röð sem kerfið mun nota þá, og innri leysir sem situr undir almennum mun senda innri nöfn á rangan þjón.

Fyrir OpenVPN-þjónustu er Tunnelblick sanngjarn biðlari án kostnaðar, og leiðarvísir þess er hreinskafinn um hinn helminginn sem vantar: það veitir enga VPN-þjónustu. Tvísmelltu á .ovpn skrána sem þú fékkst, leyfðu Tunnelblick að setja hana upp, og athugaðu útgáfuna gagnvart macOS-útgáfunni þinni áður en þú treystir á hana.

Fyrir gátt seljanda prófa ég oft með OpenConnect úr skipanalínunni:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Verkfærið prentar skírteinið sem það fékk og bíður áður en það treystir óþekktri keðju; sú beiðni er eiginleiki, og að festa með --servercert pin-sha256:... er betra en að samþykkja viðvörun sem þú lasst ekki. Ctrl-C rifur göngin því openconnect í forgrunni hefur enga neyðarrof og enga endurtengingarreglu. Það er í lagi fyrir greiningarlotu og léleg sjálfgefin stilling fyrir daglega vinnu.

Þegar engin gátt er til að laga sig að

Sumir koma með gagnstætt vandamál: enginn rekstraraðili, ekkert netfang, engin þjónusta. Ókeypis Mac-forrit getur ekki búið til innkomandi aðgengi á heimanetbeini. Ef þú vilt þitt eigið net frá hóteli verður einhver að reka gátt heima, laga hana, birta eða leysa netfang hennar og ákveða hvaða tæki eru aðgengileg.

Ef þú vilt annan internetútgang frekar en aðgang að einkaneti skaltu velja þjónustuna á undan biðlaranum. Tómur sniðalisti í sjálfstæðum biðlara er oft ekki bilað ókeypis áskrift; það getur verið engin áskrift og enginn þjónn tengdur. Haltu kostnaðinum líka aðskildum: biðlaraleyfi, þjónustuáætlun og sjálfrekna gáttin eru þrjár mismunandi kaup.

Vinnu-Mac bætir við stefnulagi. Forrit án kostnaðar getur verið rangt þótt það tengist, því samþykkti biðlarinn getur framfylgt tækisathugunum eða auðkenningarflæði sem valkosturinn hefur ekki. Biddu um samþykktan valkost í stað þess að afrita skírteini milli ótengdra forrita, og ekki líta á að slökkva á vörnum stýrikerfisins sem samhæfingarviðgerð.

Fjartölvuskjár er líka önnur vara. Hann sýnir þér lotu á annarri tölvu; hann gefur staðbundnum forritum á Macnum þínum ekki þá netleið sem göng veita.

Stuttur gátlisti fyrir fyrstu raunverulegu lotu

Nefndu gáttafjölskylduna og aðgangsháttinn skriflega, settu aðeins upp biðlarann sem passar, og skráðu sniðið sem þú notaðir. Staðfestu síðan þrjá hluti með raunverulegri umferð: leiðirnar sem göngin settu upp, röð leysanna og eitt innra forrit sem þú náðir í með nafni en ekki IP.

Ef eitthvað brestur skaltu breyta einni breytu í einu: biðlara, sniði, auðkenningarflæði. Gátt sem hleðst á meðan göngin neita að rísa aðskilur vandamál vefþjónsins frá samhæfingarvandamáli biðlarans. Þegar vinnuþjónustan svarar og almenn leið hagar sér eins og vænst var hefurðu nefnda, studda uppsetningu í stað hrúgu af ágiskunum.