Mac VPN баптаулары серверді іске қоспайды: шлюз қайда тұрады

macOS-те VPN атауын екі түрлі жұмыс киеді, ал баптаулар тақтасы олардың тек біреуін ғана қарастырады. Осы Mac-тің трафигі провайдер немесе қашықтағы шлюз арқылы сыртқа шықсын десеңіз, клиент жазбасы жеткілікті. Қонақүй бөлмесінен үй желісіндегі принтерге, NAS-қа немесе әкімші бетіне жеткіңіз келсе, сол желідегі бірдеңе сырттан келетін қосылымдарды қабылдауы керек, ал қазіргі Mac әдепкіде ол бірдеңе емес. Үш сұрақ қай жағдайда екеніңізді шешеді және өріске мекенжай теруден бұрын оларға жауап берген жөн.

Клиент жазбасы межелі жерді атайды, тыңдаушыны емес

macOS Ventura және одан кейінгі нұсқалардағы Жүйе баптаулары > Желі > VPN бөлімінде ескі шығарылымдар Желі теңшелімдерінде ұстайтын өрістер басқа біреудің соңғы нүктесіне қалай жетуге болатынын сипаттайды: сервер мекенжайы, қашықтағы ID, тіркелгі немесе сертификат және қосылуды сұраныс бойынша орындаудың қосымша ережелері. Ол жазбаны сақтау Mac-тің желілік конфигурациясында қосылымды сақтайды. Бұл процесте ештеңе портты байланыстырмайды, тыңдаушыны ашпайды немесе қашықтағы пайдаланушыны тіркемейді.

Мұны shell-ден тексеруге болады. Қызмет көрсетеді деп күдіктенген Mac-те sudo lsof -nP -iUDP іске қосып, протоколыңыз пайдаланатын порттарды қараңыз: IKEv2 үшін 500 және 4500, OpenVPN әдепкісі үшін 1194, WireGuard үшін 51820. Тек клиент болып табылатын машина қашықтағы мекенжай мен портқа жұпталған сокеттерді көрсетеді, интернеттегі кез келген нәрсе жете алатын жабайы карта байланыстыруын емес. Network Extension ішінде жүретін туннельдер lsof-тан жасырыла алады, сондықтан қалай болса да қолданбаның күй тақтасын тексеріңіз; таба алмайтыныңыз — осы Mac-ті шлюзге айналдыратын Apple теңшелімі.

Үш сұрақ екі рөлді ажыратады

Оларды ретімен өтіңіз. Біріншісі әдетте қалғанын шешеді, ал үшіншісі — Mac-ке тән жоспарлаудың көбісі қателесетін жер.

1. Әңгімені кім бастайды? Егер Mac сыртқа қоңырау шалса және екінші жақ жауап берсе, сізге клиент керек. Егер интернеттегі құрылғылар желіңізге жету үшін ішке қоңырау шалуы керек болса, сізге жария кіреберіс нүктесі бар шлюз керек, ал Mac сол шлюздің клиенті болып қала алады.

2. Туннель көтерілгенде не қолжетімді болуы керек? Бір хосттағы бір қызмет — порттарды қайта бағыттау туралы шешім. Атауларды шешумен қоса бүкіл ішкі желі — маршруттау мен DNS туралы шешім, және бұл шлюз нені жіберуі керектігін өзгертеді, клиент жазбасы не дейтінін емес.

3. Қабылдаушы жақ қай OS шығарылымында жұмыс істейді? Mac үшін бұл сұрақтың қатаң жауабы бар. Apple VPN-ді macOS Server 5.7.1-ден алынған деп көрсетеді, ал macOS Server қолданбасының өзі 2022 жылдың 21 сәуірінде тоқтатылды; қызмет тарихы туралы хабарлама — ескі оқулық сізді енді жоқ VPN қызметінің құсбелгісі арқылы өткізгенде оқуға тиіс бет.

Бірінші жауап «сырттан біреу бастайды» болса, Mac-тің клиент тақтасынан ажыратқыш іздеуді қойып, туннельді аяқтайтын хостты таңдауға кірісіңіз.

Шлюз орнына қайда тұра алады

Төрт орналасу үй және шағын кеңсе жағдайларының көбін қамтиды. Шынайы сервер режимі бар маршрутизатор, өзге белгісі бар клиент режимінен өзгеше, туннельді шекте аяқтайды және хост санын аз ұстайды, бірақ сол firmware-тің протокол қолдауына байланып қаласыз. NAS немесе үнемі қосулы мини-ДК өндірушінің сервер бумасын іске қосады және оқуға болатын журналдар қалдырады. Шағын бұлттық VM сізге өзіңіз басқаратын жария мекенжай береді және үйге екінші туннель арқылы жетеді. WireGuard негізінде құрылған mesh қаптамасы немесе теңдестер арасында реле жасайтын басқарылатын қызмет екі шетті де сыртқа қоңырау шалдыру арқылы кіріс порттарын қайта бағыттаудан жалтарады.

Бұл нұсқалар арасындағы шекара әдетте бағдарлама емес, сіздің интернет қосылымыңыз. Егер ISP сізді оператор деңгейіндегі NAT артына қойса, маршрутизатордағы порттарды қайта бағыттаудың қанша болса да қолжетімді кіреберіс нүктесін тудырмайды, және реле немесе mesh орналасуы адал жауап болып табылады. Маршрутизаторыңыз хабарлайтын WAN мекенжайын сыртқы әлем көретін мекенжаймен салыстырыңыз; егер олар өзгеше болса және маршрутизатор мәні жеке немесе ортақ ауқымда жатса, реле жағдайына жоспар құрыңыз.

Қай хостты таңдасаңыз да, ауқымның орнына бір портта бір протокол жіберіңіз және Mac-ті кіріс жолынан тыс ұстаңыз, егер сол нақты өнім сіз іске қосып отырған macOS шығарылымы үшін сервер рөлін құжаттамаса.

Профильдерді таратпас бұрын рөлді растаңыз

Үміткер шлюзде тыңдаушының бар екенін дәлелдеңіз, орнатушы жасады деп сенудің орнына. macOS-те бұл жоғарыдағы порттарға сүзілген sudo lsof -nP -iUDP, ал пакет сүзгісінің ережелері дизайнның бөлігі болса, sudo pfctl -s nat дегенді білдіреді. Linux-те ss -lunp сол фактілерді екіұштылықсыз көрсетеді.

Содан кейін желіден тыс жерден, протоколдың өзін пайдаланып сынаңыз. Ping азды дәлелдейді: ICMP жиі сүзіледі және UDP 51820 туралы ештеңе айтпайды. Толық журналмен клиенттің қол алысуы, ұялы деректегі телефоннан іске қосылған, ең арзан нақты тест, өйткені ол қашықтағы әріптес жүретін жолмен жүреді.

Содан кейін ғана клиент профильдеріне қол тигізесіз. Mac-те scutil --nc list жүйе білетін VPN қызметтерін басып шығарады; егер жаңа ғана құрған шлюз олардың қатарында болмаса, сіз сынаған машинадан өзге машинаны баптап отырсыз. Егер қол алысу LAN-да сәтті болып, сырттан сәтсіз болса, кінә кіріс жолында: NAT ережесі, провайдердің CGNAT-ы немесе шлюздегі firewall, осы ретпен.

Бірдеңе құрмас бұрын төрт тармақты шешіңіз:

• Қосылымды қай жақ бастайды, сіздің Mac пе әлде қашықтағы құрылғы ма.
• Қабылдаушы хосттың OS шығарылымы мен өнімі шынымен сервер рөлін қолдай ма.
• ISP сізге жалпы қолжетімді жария мекенжай бере ме.
• Шлюз қай бір порт пен протоколды қабылдайды және оның артында қай қызмет жауап береді.

Келесі қадам нақты: шлюз хостты таңдаңыз, оның тыңдаушысын сырттан растаңыз, содан кейін ғана Mac-те оған сілтейтін клиент жазбасын жасаңыз.