როგორ ავირჩიოთ Mac-ის VPN კლიენტი უკვე არსებული გეითვეისთვის

ჩამოტვირთვის გვერდზე ექვსი Mac VPN აპლიკაცია ჩანს და არც ერთი მათგანი არ ამბობს, რომელს მიიღებს თქვენი დამსაქმებლის გეითვეი. ეს მაღაზიის ხარვეზი არ არის; ეს გადაცემის ხარვეზია. ერთი SSL VPN პროდუქტების ოჯახია და არა პროტოკოლი, ამიტომ ერთი და იმავე შესვლის ეკრანის მქონე ორ გეითვეის შეიძლება სხვადასხვა კლიენტი დასჭირდეს. აი ის თანმიმდევრობა, რომელსაც ვიყენებ, როცა ვიღაც მაბარებს Mac-ს და სერვერის მისამართს: დაადგინეთ, რას ლაპარაკობს გეითვეი, აირჩიეთ მისთვის შესაფერისი კლიენტი და შემდეგ გადაამოწმეთ მარშრუტები და DNS, სანამ გვირაბს სამუშაოს ანდობთ.

დაიწყეთ გეითვეიდან და არა აპლიკაციების მაღაზიიდან

აპლიკაცია თქვენს Mac-ზე მუშაობს, მაგრამ კავშირი სხვამ უნდა მიიღოს და წვდომა მოგცეს: გეითვეიმ, რომელსაც ჰყავს ოპერატორი, აქვს მისამართი, შესაბამისი პარამეტრები და თქვენი ავტორიზაციის გზა. უფასო კლიენტი შეიძლება კარგი პროგრამა იყოს და მაინც არც ერთი ეს რამ არ მოგცეს. სამუშაო წვდომა, სახლის გეითვეი და კომერციული ინტერნეტის გასასვლელი სამი განსხვავებული საწყისი წერტილია, რომლებიც შემთხვევით ერთ ჩამოტვირთვის გვერდს იზიარებენ.

სანამ რამეს დააყენებთ ან შეცვლით, ოთხი პასუხი მიიღეთ მისგან, ვინც სერვისს მართავს:

• წვდომის რეჟიმი: ბრაუზერის პორტალი, არჩეულ აპლიკაციაზე წვდომა ან სრული ქსელური გვირაბი. ეს წყვეტს, საერთოდ გჭირდებათ თუ არა კლიენტი.

• გეითვეის ოჯახი და მხარდაჭერილი გამოშვება: პროდუქტი, ჩართული სერვისი და კლიენტის ის ვერსია, რომელიც ჯერ კიდევ უჭერს მხარს თქვენს macOS-ის ვერსიას და Mac-ის აპარატურას.

• ავთენტიფიკაცია: პაროლი MFA-სთან ერთად, ბრაუზერით შესვლა, მოწყობილობის სერტიფიკატი ან მდგომარეობის შემოწმება. დამტკიცებული ნაკადის გარეშე კლიენტი დაუკავშირდება და შემდეგ უარყოფილი იქნება.

• საკუთრება: სანდო ჩამოტვირთვის ან მართვის წყარო, განკუთვნილი პროფილი და ის, თუ ვინ უჭერს მხარს, როცა გატყდება.

საკუთრება ის პუნქტია, რომელსაც ხალხი გამოტოვებს. მართულ Mac-ზე პროფილი ხშირად ორგანიზაციის მართვის სისტემით მოდის და ხელით აწყობილი კონფიგურაცია შეიძლება შემდეგ შემოწმებაზე შეიცვალოს. ჰკითხეთ, გელით თუ არა, რომ თავად დააყენოთ რამე, სანამ მესამე მხარის აპლიკაციას ეძებთ.

SSL VPN ოჯახის იარლიყია და არა პროტოკოლი

TLS-ს შეუძლია კავშირის დაცვა, სანამ მის შიგნით პროდუქტისთვის დამახასიათებელი გაცვლა ამუშავებს შესვლას, სესიის განაწილებას და გვირაბის ტრაფიკს. სწორედ ეს შიდა გაცვლა უნდა განახორციელოს კლიენტმა. ბრაუზერი, რომელიც გეითვეის HTTPS შესვლის გვერდს აღწევს, ადასტურებს სერტიფიკატების ჯაჭვს და ვებ სერვერს; ის არ ადასტურებს, რომ უკავშირო VPN აპლიკაციას შეუძლია გვირაბის აწყობა იმავე მანქანამდე.

OpenConnect ყველაზე ნათელი მაგალითია, რაც ვიცი. მისი ზედა დონის დოკუმენტაცია ცალკეულ პროტოკოლურ რეჟიმებს ჩამოთვლის სხვადასხვა გეითვეის ოჯახისთვის და თავსებადობას გამყიდველის ოფიციალური მხარდაჭერისგან აცალკევებს. ყველა SSL VPN რომ ერთ პროტოკოლზე ლაპარაკობდეს, ეს რეჟიმები ზედმეტი იქნებოდა.

OpenVPN-ის პროფილს იგივე შეზღუდვა აქვს საპირისპირო მიმართულებით: ეს არის იმპორტის ფორმატი OpenVPN-თან თავსებადი განლაგებისთვის. TLS-ის სამშენებლო ბლოკად გაზიარება მას თვითნებური საწარმოო გეითვეის კონფიგურაციის ფაილად არ აქცევს. ამიტომ მუშა ბრაუზერით შესვლა ცრუ დადებითია: პორტალზე წვდომა შეიძლება წარმატებული იყოს, როცა გვირაბი საერთოდ არ არსებობს, და ამოწეული გვირაბი მოგვიანებით მაინც შეიძლება უარყოს მდგომარეობის შემოწმებამ.

შეუსაბამეთ კლიენტი იმას, რასაც გეითვეი ლაპარაკობს

როცა ოჯახი ცნობილია, არჩევანი სწრაფად ვიწროვდება. ეს ის დაკავშირებაა, რომელსაც პირველად ვამოწმებ, და ბოლო სვეტს უფრო მეტი მნიშვნელობა აქვს, ვიდრე ნებისმიერ შეფასებას აპლიკაციისა.

ორი სტრიქონი გაფრთხილებას იმსახურებს. macOS-ის ჩაშენებული კლიენტი ნამდვილი IKEv2 რეალიზაციაა და არა ზოგადი SSL VPN კლიენტი: მისთვის შექმნილ სერვისს სჭირდება სწორი პროფილი, მოსალოდნელი სერვერის იდენტობა და სერტიფიკატები, და მართულ მანქანაზე ეს პროფილი შეიძლება ჩაკეტილი იყოს. OpenConnect ერთი ბინარიდან რამდენიმე გამყიდველის პროტოკოლს ფარავს, მაგრამ მისი პროექტი გამყიდველის მხარდაჭერას არ აცხადებს; ჰოსტის სკანირება, გეითვეის მიერ გაგზავნილი გაყოფილი გვირაბის წესები ან კონკრეტული SSO ნაკადი შეიძლება მხოლოდ გამყიდველის კლიენტში არსებობდეს.

WireGuard-ს იგივე ფორმა აქვს. სერვისი პირებს გაძლევთ, კლიენტი გვირაბს გაძლევთ, და OpenVPN-ის პროფილი შემცვლელი არ არის. macOS-ის ერთი ნაოჭი: App Store-ის კლიენტი თავის გვირაბებს ქსელურ გაფართოებაში ინახავს, ამიტომ Homebrew-ის ხელსაწყოებიდან wg show შეიძლება არაფერი მოგახსენოთ, სანამ ინტერფეისი აქტიურია. სამაგიეროდ მარშრუტებითა და ტრაფიკით გადაამოწმეთ.

კონფიგურაცია, შემდეგ გადამოწმება ფიქსირებული თანმიმდევრობით

დააყენეთ ერთი კლიენტი და ერთი პროფილი და ჩაიწერეთ, რა შეცვალეთ. დაკავშირებამდე აღებეთ საწყისი ნიშნული, რომ თქვათ, რას ცვლის გვირაბი:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

დაუკავშირდით მოცემული პროფილით და გაიმეორეთ იგივე ბრძანებები. სრული გვირაბისას ნაგულისხმევი მარშრუტი utun ინტერფეისზე უნდა მიუთითებდეს; გაყოფილი გვირაბისას მხოლოდ შიდა პრეფიქსები უნდა იმარშრუტოს და თქვენი საჯარო გასასვლელი უცვლელად უნდა გამოიყურებოდეს. DNS ის ნახევარია, რომელიც ჩვეულებრივ გატეხილი რჩება: scutil --dns ალაგებს გადამწყვეტებს იმ თანმიმდევრობით, რომლითაც სისტემა გამოიყენებს მათ, და საჯაროს ქვეშ მჯდომი შიდა გადამწყვეტი შიდა სახელებს არასწორ სერვერზე გაგზავნის.

OpenVPN-ის სერვისისთვის Tunnelblick გონივრული უფასო კლიენტია, და მისი სახელმძღვანელო ღიად ამბობს დაკარგულ ნახევარზე: ის VPN სერვისს არ გაძლევთ. ორჯერ დაწკაპუნეთ მოცემულ .ovpn-ზე, მიეცით Tunnelblick-ს დაყენების საშუალება და სანამ დაეყრდნობით, გამოშვება თქვენს macOS-ის ვერსიას შეადარეთ.

გამყიდველის გეითვეისთვის ხშირად ბრძანების სტრიქონიდან OpenConnect-ით ვტესტავ:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

ხელსაწყო ბეჭდავს მიღებულ სერტიფიკატს და უცნობ ჯაჭვის ნდობამდე იცდის; ეს მოთხოვნა ფუნქციაა, და --servercert pin-sha256:...-ით დამაგრება უკეთესია, ვიდრე იმ გაფრთხილების მიღება, რომელიც არ წაგიკითხავთ. Ctrl-C გვირაბს წყვეტს, რადგან წინა პლანზე მომუშავე openconnect-ს არც გამორთვის გადამრთველი აქვს და არც ხელახლა დაკავშირების ლოგიკა. ეს კარგია დიაგნოსტიკური სეანსისთვის და ცუდი ნაგულისხმევი ყოველდღიური მუშაობისთვის.

როცა შესადარებელი გეითვეი არ არის

ზოგი საპირისპირო პრობლემით მოდის: არც ოპერატორი, არც მისამართი, არც სერვისი. უფასო Mac აპლიკაცია სახლის როუტერზე შემომავალ ხელმისაწვდომობას ვერ შექმნის. თუ გსურთ საკუთარი ქსელი სასტუმროდან, ვიღაცამ სახლში გეითვეი უნდა გაუშვას, განაახლოს, გამოაქვეყნოს ან ამოხსნას მისი მისამართი და გადაწყვიტოს, რომელი მოწყობილობაა ხელმისაწვდომი.

თუ კერძო ქსელზე წვდომის ნაცვლად სხვა ინტერნეტ გასასვლელი გსურთ, სერვისი კლიენტამდე აირჩიეთ. ცარიელი პროფილების სია დამოუკიდებელ კლიენტში ხშირად გატეხილი უფასო გამოწერა არ არის; შეიძლება გამოწერა საერთოდ არ იყოს და სერვერი არ იყოს მიერთებული. ხარჯებიც ცალ-ცალკე გეჭიროთ: კლიენტის ლიცენზია, სერვისის გეგმა და თქვენივე მართული გეითვეი სამი განსხვავებული შენაძენია.

სამუშაო Mac პოლიტიკის ფენას ამატებს. უფასო აპლიკაცია შეიძლება მცდარი იყოს მაშინაც, როცა უკავშირდება, რადგან დამტკიცებულმა კლიენტმა შეიძლება მოითხოვოს მოწყობილობის შემოწმებები ან ავთენტიფიკაციის ნაკადი, რომელიც ალტერნატივას არ აქვს. სთხოვეთ დამტკიცებული ალტერნატივა იმის ნაცვლად, რომ სერტიფიკატები უკავშირო აპლიკაციებს შორის დააკოპიროთ, და პლატფორმის დაცვის გამორთვას თავსებადობის შესწორებად ნუ ჩათვლით.

დისტანციური სამუშაო მაგიდის მთვლელი სხვა პროდუქტიც არის. ის სხვა კომპიუტერზე სეანსს გაჩვენებთ; ის თქვენი Mac-ის ლოკალურ აპლიკაციებს იმ ქსელურ გზას არ აძლევს, რომელსაც გვირაბი იძლევა.

მოკლე სია პირველ რეალურ სეანსამდე

დაწერეთ გეითვეის ოჯახი და წვდომის რეჟიმი, დააყენეთ მხოლოდ მათთან შესაბამისი კლიენტი და ჩაიწერეთ გამოყენებული პროფილი. შემდეგ რეალური ტრაფიკით დაადასტურეთ სამი რამ: გვირაბის მიერ დაყენებული მარშრუტები, გადამწყვეტების თანმიმდევრობა და ერთი შიდა აპლიკაცია, რომელსაც სახელით მიაღწიეთ და არა IP-ით.

თუ რამე ვერ გამოვიდა, ერთდროულად ერთი ცვლადი შეცვალეთ: კლიენტი, პროფილი, ავთენტიფიკაციის ნაკადი. პორტალი, რომელიც იტვირთება, სანამ გვირაბი აწევაზე უარს ამბობს, ვებ სერვერის პრობლემას კლიენტის თავსებადობის პრობლემისგან გაყოფს. როცა სამუშაო სერვისი პასუხობს და საჯარო გზა მოსალოდნელად იქცევა, თქვენ გაქვთ დასახელებული, მხარდაჭერილი მოწყობა და არა ვარაუდების გროვა.