Бар гейтвейге арналған Mac VPN клиентін қалай таңдау керек

Жүктеу бетінде алты Mac VPN қолданбасы көрінеді және олардың ешқайсысы жұмыс берушіңіздің гейтвейі қайсысын қабылдайтынын айтпайды. Бұл дүкеннің кемшілігі емес; бұл тапсыру кемшілігі. Бір SSL VPN — бұл протокол емес, өнім отбасы, сондықтан кіру экраны бірдей екі гейтвей әртүрлі клиентті талап етуі мүмкін. Біреу маған Mac пен сервер мекенжайын бергенде мен мына ретті қолданамын: гейтвейдің немен сөйлесетінін анықтаңыз, соған сәйкес клиентті таңдаңыз, содан кейін жұмысты туннельге сеніп тапсырмас бұрын маршруттар мен DNS-ті тексеріңіз.

Қолданбалар дүкенінен емес, гейтвейден бастаңыз

Қолданба сіздің Mac-те жұмыс істейді, бірақ қосылымды қабылдап, рұқсат беруі керек нәрсе басқа: операторы, мекенжайы, үйлесімді параметрлері және сізді рұқсаттандыру жолы бар гейтвей. Тегін клиент жақсы бағдарлама болып, осылардың ешқайсысын бермеуі мүмкін. Жұмысқа рұқсат, үй гейтвейі және коммерциялық интернет шығысы — кездейсоқ бір жүктеу бетін бөлісетін үш түрлі бастау нүктесі.

Бірдеңені орнату немесе ауыстыру алдында қызметті басқаратын адамнан төрт жауап алыңыз:

• Рұқсат режимі: браузер порталы, таңдалған қолданбаға рұқсат немесе толық желілік туннель. Бұл клиенттің жалпы қажет пе екенін шешеді.

• Гейтвей отбасы және қолдау көрсетілетін шығарылым: өнім, қосылған қызмет және сіздің macOS құрылымыңыз бен Mac аппаратураңызды әлі қолдайтын клиент нұсқасы.

• Аутентификация: MFA-мен қоса құпия сөз, браузер арқылы кіру, құрылғы сертификаты немесе күй тексерісі. Бекітілген ағыны жоқ клиент қосылады да, кейін қабылданбайды.

• Меншік: сенімді жүктеу немесе басқару көзі, көзделген профиль және сынған кезде кімнің қолдайтыны.

Меншік — адамдар өткізіп жіберетін тармақ. Басқарылатын Mac-те профиль көбіне ұйымның басқару жүйесі арқылы келеді, ал қолмен құрастырылған конфигурация келесі тексерісте ауыстырылуы мүмкін. Үшінші тарап қолданбасын іздеуге кіріспес бұрын, өзіңіз бірдеңе орнатуыңыз күтіле ме, соны сұраңыз.

SSL VPN — отбасылық белгі, протокол емес

TLS қосылымды қорғай алады, ал оның ішіндегі өнімге тән алмасу кіруді, сессия бөлуді және туннель трафигін өңдейді. Клиент дәл сол ішкі алмасуды іске асыруы керек. Гейтвейдің HTTPS кіру бетіне жеткен браузер сертификат тізбегі мен веб-серверді дәлелдейді; ол басқа VPN қолданбасының сол машинаға туннель құра алатынын дәлелдемейді.

OpenConnect — мен білетін ең айқын мысал. Оның жоғары деңгейлі құжаттамасы әртүрлі гейтвей отбасылары үшін бөлек протокол режимдерін тізіп, өзара әрекеттесуді өндірушінің ресми қолдауынан бөледі. Егер әр SSL VPN бір протоколмен сөйлессе, бұл режимдер қажет болмас еді.

OpenVPN профилінде кері бағыттағы сол шектеу бар: ол OpenVPN-ге үйлесімді орналастыруға арналған импорт пішімі. TLS-ті құрылыс блогы ретінде бөлісу оны кез келген кәсіпорын гейтвейінің конфигурация файлына айналдырмайды. Сондықтан жұмыс істеп тұрған браузерлік кіру — жалған оң нәтиже: порталға рұқсат туннель жоқ кезде де сәтті болуы мүмкін, ал көтерілген туннельді кейін күй тексерісі қабылдамауы мүмкін.

Клиентті гейтвей сөйлейтін нәрсеге сәйкестендіріңіз

Отбасы белгілі болған соң таңдау тез тарылады. Бұл мен бірінші тексеретін сәйкестік, ал соңғы баған кез келген қолданба рейтингінен маңыздырақ.

Екі жол ескертуге тұрарлық. macOS-тің кіріктірілген клиенті — нақты IKEv2 іске асырылымы, жалпы SSL VPN клиенті емес: оған арналған қызметке дұрыс профиль, күтілетін сервер сәйкестігі және тіркелгі деректері қажет, ал басқарылатын машинада бұл профиль құлыпталуы мүмкін. OpenConnect бір бинардан бірнеше өндіруші протоколын қамтиды, бірақ жобаның өзі өндіруші қолдауын мәлімдемейді; хостты сканерлеу, гейтвей жіберетін бөлінген туннель ережелері немесе белгілі бір SSO ағыны тек өндіруші клиентінде болуы мүмкін.

WireGuard-тің пішіні де сол. Қызмет пирлерді береді, клиент туннельді береді, ал OpenVPN профилі оның орнын баспайды. macOS-тің бір әжімі: App Store клиенті туннельдерін желілік кеңейту ішінде ұстайды, сондықтан Homebrew құралдарынан wg show интерфейс қосулы тұрса да ештеңе көрсетпеуі мүмкін. Оның орнына маршруттар мен трафикпен тексеріңіз.

Конфигурациялаңыз, содан кейін белгіленген ретпен тексеріңіз

Бір клиент пен бір профиль орнатып, нені өзгерткеніңізді жазып алыңыз. Қосылу алдында бастапқы күйді түсіріп алыңыз, сонда туннель нені өзгертетінін айта аласыз:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Берілген профильмен қосылып, сол пәрмендерді қайталаңыз. Толық туннельде әдепкі маршрут utun интерфейсіне көрсетуі керек; бөлінген туннельде тек ішкі префикстер маршрутталуы керек, ал сіздің жария шығысыңыз өзгермеген болып көрінуі тиіс. DNS — көбіне бұзылып қалатын жарты: scutil --dns шешушілерді жүйенің пайдаланатын ретімен тізіп береді, ал жария шешушінің астында отырған ішкі шешуші ішкі атауларды дұрыс емес серверге жібереді.

OpenVPN қызметі үшін Tunnelblick — орынды тегін клиент, және оның нұсқаулығы жетпейтін жарты туралы ашық айтады: ол VPN қызметін ұсынбайды. Сізге берілген .ovpn файлын екі рет басыңыз, Tunnelblick оны орнатуына жол беріңіз, және оған сенбес бұрын шығарылымды macOS нұсқаңызбен салыстырыңыз.

Өндіруші гейтвейі үшін мен жиі пәрмен жолынан OpenConnect-пен сынаймын:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Құрал алынған сертификатты басып шығарады және белгісіз тізбекке сенбес бұрын күтеді; бұл сұрау — мүмкіндік, ал --servercert pin-sha256:... арқылы бекіту оқымаған ескертуді қабылдағаннан жақсы. Ctrl-C туннельді үзеді, өйткені алдыңғы пландағы openconnect-те өшіру қосқышы да, қайта қосылу логикасы да жоқ. Бұл диагностикалық сессия үшін жарайды, ал күнделікті жұмыс үшін нашар әдепкі.

Сәйкестендіретін гейтвей жоқ кезде

Кейбіреулер қарама-қарсы мәселемен келеді: оператор жоқ, мекенжай жоқ, қызмет жоқ. Тегін Mac қолданбасы үй роутерінде кірме қолжетімділік жасай алмайды. Егер қонақүйден өз желіңізді қаласаңыз, біреу үйде гейтвей жүргізуі, оны жаңартып отыруы, мекенжайын жариялауы немесе шешуі және қай құрылғыларға қолжетімді екенін шешуі керек.

Егер жеке желіге рұқсаттың орнына басқа интернет шығысын қаласаңыз, қызметті клиенттен бұрын таңдаңыз. Дербес клиенттегі бос профиль тізімі көбіне бұзылған тегін жазылым емес; жазылым да, қосылған сервер де болмауы мүмкін. Шығындарды да бөлек ұстаңыз: клиент лицензиясы, қызмет жоспары және өзіңіз жүргізетін гейтвей — үш түрлі сатып алу.

Жұмыс Mac-і саясат қабатын қосады. Тегін қолданба қосылса да қате болуы мүмкін, өйткені бекітілген клиент баламада жоқ құрылғы тексерістерін немесе аутентификация ағынын талап етуі мүмкін. Байланысы жоқ қолданбалар арасында тіркелгі деректерін көшірудің орнына бекітілген балама сұраңыз, ал платформа қорғанысын өшіруді үйлесімділік түзетуі деп санамаңыз.

Қашықтағы жұмыс үстелін көруші де басқа өнім. Ол сізге басқа компьютердегі сессияны көрсетеді; ол Mac-іңіздің жергілікті қолданбаларына туннель беретін желілік жолды бермейді.

Алғашқы нақты сессия алдындағы қысқа тізім

Гейтвей отбасы мен рұқсат режимін жазбаша атаңыз, тек соған сәйкес клиентті орнатыңыз және қолданылған профильді жазып қойыңыз. Содан кейін нақты трафикпен үш нәрсені растаңыз: туннель орнатқан маршруттар, шешушілер реті және IP емес, аты бойынша жеткен бір ішкі қолданба.

Егер бірдеңе сәтсіз болса, бір уақытта бір айнымалыны өзгертіңіз: клиент, профиль, аутентификация ағыны. Туннель іске қосылудан бас тартқанда жүктелетін портал веб-сервер мәселесін клиент үйлесімділігі мәселесінен ажыратады. Жұмыс қызметі жауап беріп, жария жол күткендей әрекет етсе, сізде болжамдар үйіндісі емес, аталған, қолдау көрсетілген реттеу бар.