VPN-stillingar Macsins ræsa ekki netþjón: hvar gáttin býr

Tvö ólík störf bera nafnið VPN í macOS, og stillingaspjaldið sinnir aðeins öðru þeirra. Ef þú vilt að umferð þessa Macs fari út um þjónustuaðila eða fjarlæga gátt, þá nægir biðlafærsla. Ef þú vilt ná í prentarann, NAS-tækið eða stjórnborðssíðu á heimanetinu þínu frá hótelherbergi, verður eitthvað á því neti að taka við tengingum að utan, og núverandi Mac er ekki það eitthvað upp úr kassanum. Þrjár spurningar ráða því í hvaða tilfelli þú ert, og það borgar sig að svara þeim áður en þú slærð inn vistfang í reit.

Biðlafærsla nefnir áfangastað, ekki hlustanda

Í Kerfisstillingum > Neti > VPN á macOS Ventura og nýrri, lýsa reitirnir sem eldri útgáfur halda undir Netstillingum hvernig ná á endapunkti einhvers annars: netþjónsvistfang, fjarlægt auðkenni, reikningur eða skírteini, og valfrjálsar reglur um tengingu eftir beiðni. Að vista þá færslu geymir tengingu í netstillingum Macsins þíns. Ekkert í ferlinu bindur gátt, opnar hlustanda eða skráir fjarlægan notanda.

Þú getur athugað þetta úr skelinni. Á Mac sem þú grunar að þjóni, keyrðu sudo lsof -nP -iUDP og leitaðu að gáttunum sem prótókollinn þinn notar: 500 og 4500 fyrir IKEv2, 1194 fyrir sjálfgefna OpenVPN, 51820 fyrir WireGuard. Vél sem er aðeins biðill sýnir sökklar paraða við fjarlægt vistfang og gátt, ekki algilda bindingu sem hvað sem er á internetinu gæti náð. Göng sem keyra inni í Network Extension geta falið sig fyrir lsof, svo athugaðu líka stöðuspjald forritsins; það sem þú finnur ekki er Apple-stilling sem gerir þennan Mac að gátt.

Þrjár spurningar aðskilja hlutverkin tvö

Farðu í gegnum þær í röð. Sú fyrsta ræður venjulega hinum, og sú þriðja er þar sem mest af Mac-sértækri skipulagningu fer úrskeiðis.

1. Hver byrjar samræðurnar? Ef Macinn þinn hringir út og hinn aðilinn svarar, þarftu biðil. Ef tæki á internetinu verða að hringja inn til að ná í netið þitt, þarftu gátt með opinberum inngangspunkti, og Macinn getur verið áfram biðill þeirrar gáttar.

2. Hvað verður að vera aðgengilegt meðan göngin eru uppi? Ein þjónusta á einum hýsli er ákvörðun um gáttarsendingu. Heil undirnet, þar á meðal nafnupplausn, er ákvörðun um leiðingu og DNS, og hún breytir því sem gáttin verður að senda áfram, ekki því sem biðlafærslan segir.

3. Hvaða stýrikerfisútgáfa keyrir viðtökuhlutann? Fyrir Mac hefur þessi spurning harða svörun. Apple skráir VPN sem fjarlægt úr macOS Server 5.7.1, og macOS Server forritinu sjálfu var hætt 21. apríl 2022; tilkynningin um þjónustusöguna er síðan sem á að lesa þegar gömul kennsla leiðir þig í gegnum gátreit fyrir VPN-þjónustu sem er ekki lengur til.

Þegar fyrsta svarið er „einhver að utan hefur frumkvæði“, hættu að leita að rofa á biðlaspjaldi Macsins og farðu að velja hýsilinn sem lýkur göngunum.

Hvar gáttin getur annars búið

Fjórar fyrirkomulög ná yfir flest heimilis- og smáskrifstofutilfelli. Beinir með raunverulegan netþjónsham, öfugt við biðlaham með annarri merkingu, lýkur göngunum á jaðrinum og heldur hýslafjölda lágum, á þann kost að vera bundinn við prótókollstudning þeirrar fastbúnaðar. NAS eða alltaf á tölva keyrir netþjónspakka framleiðandans og skilur eftir annála sem þú getur lesið. Lítil skýja-VM gefur þér opinbert vistfang sem þú stjórnar og nær heim um annað göng. Netlög byggt á WireGuard, eða stýrð þjónusta sem endursendir milli jafningja, sneiðir framhjá innkomandi gáttarsendingu með því að láta báða enda hringja út.

Mörkin milli þessara valkosta eru venjulega internettengingin þín, ekki hugbúnaðurinn. Ef netveitan setur þig bak við NAT á flutningsstigi, framleiðir engin gáttarsending í beini aðgengilegan inngangspunkt, og endursendingar- eða netlagsfyrirkomulag er heiðarlegt svar. Berðu saman WAN-vistfanginu sem beinirinn þinn tilkynnir og vistfanginu sem umheimurinn sér; ef þau eru ólík og gildi beinisins er í einka- eða sameiginlegu sviði, skipuleggðu fyrir endursendingartilfellið.

Hvaða hýsil sem þú velur, sendu eitt prótókoll á einni gátt í stað sviðs, og haltu Macnum utan við innkomandi leið nema þessi tiltekna vara skjalfesti netþjónshlutverk fyrir þá macOS-útgáfu sem þú keyrir.

Staðfestu hlutverkið áður en þú útdeilir sniðum

Á hugsanlegu gáttinni skaltu sanna að hlustandi sé til staðar í stað þess að treysta því að uppsetningin hafi búið hann til. Á macOS þýðir það sudo lsof -nP -iUDP síað á gáttirnar hér að ofan, auk sudo pfctl -s nat ef reglur um pakkasíu eru hluti af hönnuninni. Á Linux sýnir ss -lunp sömu staðreyndir án tvíræðni.

Prófaðu svo utan netsins, með prótókollinu sjálfu. Ping sannar lítið: ICMP er oft síað og segir ekkert um UDP 51820. Handaband biðils með ítarlegri skráningu, keyrt úr síma á farsímaneti, er ódýrasta raunverulega prófið því það fer sömu leið og fjarlægur samstarfsmaður mun fara.

Aðeins eftir það snertir þú biðlasnið. Á Macnum prentar scutil --nc list VPN-þjónusturnar sem kerfið þekkir; ef gáttin sem þú byggðir rétt í þessu er ekki þar á meðal, ertu að stilla aðra vél en þá sem þú prófaðir. Ef handabandið tekst á LAN en mistekst að utan, er gallinn í innkomandi leið: NAT-regla, CGNAT netveitunnar eða eldveggur á gáttinni, í þeirri röð.

Áður en þú byggir nokkuð, ákveddu fjóra punkta:

• Hvor aðilinn hefur frumkvæði að tengingunni, Macinn þinn eða fjarlægt tæki.
• Hvort stýrikerfisútgáfa og vara viðtökuhýsilsins styðja í raun netþjónshlutverk.
• Hvort netveitan þín gefur þér yfirleitt aðgengilegt opinbert vistfang.
• Hvaða eina gátt og prótókoll gáttin tekur við, og hvaða þjónusta fyrir aftan svarar.

Næsta skref er áþreifanlegt: veldu gáttarhýsilinn, staðfestu hlustandann að utan, og aðeins þá búðu til biðlafærsluna á Macnum sem bendir á hana.