Mac VPN жөндөөлөрү серверди иштетпейт: шлюз кайда жашайт

macOS'те VPN деген атты эки башка иш алып жүрөт, ал эми жөндөөлөр панели алардын бирин гана карайт. Бул Mac'тин трафиги провайдер же алыскы шлюз аркылуу сыртка чыгышын кааласаңыз, кардар жазуусу жетиштүү. Мейманкана бөлмөсүнөн үй тармагындагы принтерге, NAS'ка же админ бетине жетүүнү кааласаңыз, ошол тармактагы бир нерсе сырттан келген байланыштарды кабыл алышы керек, ал эми азыркы Mac демейки шартта ошол нерсе эмес. Үч суроо кайсы учурда экениңизди чечет, жана талаага дарек киргизүүдөн мурун аларга жооп берүү татыктуу.

Кардар жазуусу бара турган жерди атайт, угуучуну эмес

macOS Ventura жана андан кийинки версиялардагы Система жөндөөлөрү > Тармак > VPN бөлүмүндө эски чыгарылыштар Тармак тандоолорунда кармаган талаалар башка бирөөнүн акыркы чекитине кантип жетүүнү сүрөттөйт: сервер дареги, алыскы ID, эсеп же сертификат, жана суроо боюнча туташуунун милдеттүү эмес эрежелери. Ошол жазууну сактоо Mac'тин тармактык конфигурациясында байланышты сактайт. Бул процессте эч нерсе портту байланыштырбайт, угуучуну ачпайт же алыскы колдонуучуну каттабайт.

Муну shell'ден текшерсе болот. Кызмат кылып жатат деп шектенген Mac'те sudo lsof -nP -iUDP иштетип, протоколуңуз колдонгон портторду караңыз: IKEv2 үчүн 500 жана 4500, OpenVPN демейкиси үчүн 1194, WireGuard үчүн 51820. Бир гана кардар болгон машина алыскы дарек жана порт менен жупташкан сокеттерди көрсөтөт, интернеттеги нерсе жете алган жапайы карта байланышын эмес. Network Extension ичинде жүргөн туннелдер lsof'тон жашырынышы мүмкүн, андыктан кандай болбосун колдонмонун абал панелин текшериңиз; таба албай турганыңыз — бул Mac'ти шлюзга айландырган Apple тандоосу.

Үч суроо эки ролду ажыратат

Аларды ирети менен өтүңүз. Биринчиси адатта калганын чечет, ал эми үчүнчүсү Mac'ке мүнөздүү пландоонун көбү жаңылышкан жер.

1. Маекти ким баштайт? Эгер Mac сыртка байланышса жана экинчи тарап жооп берсе, сизге кардар керек. Эгер интернеттеги түзмөктөр тармагыңызга жетүү үчүн ичке байланышса, сизге коомдук кирүү чекити бар шлюз керек, ал эми Mac ошол шлюздун кардары бойдон кала алат.

2. Туннель көтөрүлгөндө эмне жеткиликтүү болушу керек? Бир хосттогу бир кызмат портторду өткөрүп берүү боюнча чечим. Аттарды чечүүнү кошкондо бүт ички тармак маршруттоо жана DNS боюнча чечим, жана бул шлюз эмнени өткөрүшү керектигин өзгөртөт, кардар жазуусу эмне дегенин эмес.

3. Кабыл алуучу тарап кайсы OS чыгарылышында иштейт? Mac үчүн бул суроонун катуу жообу бар. Apple VPN'ди macOS Server 5.7.1'ден алынган деп көрсөтөт, ал эми macOS Server колдонмосунун өзү 2022-жылдын 21-апрелинде токтотулду; кызмат тарыхы тууралуу кабар — эски окуу куралы сизди эми жок VPN кызматынын белги кутучасы аркылуу алып барганда окулушу керек болгон барак.

Биринчи жооп «сырттан бирөө баштайт» болсо, Mac'тин кардар панелинен өчүргүч издөөнү токтотуп, туннелди бүтүрө турган хостту тандоого өтүңүз.

Шлюз анын ордуна кайда жашай алат

Төрт жайгашуу үй жана чакан кеңсе учурларынын көбүн камтыйт. Чыныгы сервер режими бар роутер, башка белгиси бар кардар режиминен айырмаланып, туннелди четинде бүтүрөт жана хост санын аз кармайт, бирок ошол firmware'дин протокол колдоосуна байланып каласыз. NAS же дайыма күйүп турган мини ПК өндүрүүчүнүн сервер пакетин иштетип, окуй турган журналдарды калтырат. Чакан булут VM сизге өзүңүз көзөмөлдөгөн коомдук дарек берет жана үйгө экинчи туннель аркылуу жетет. WireGuard негизинде курулган mesh каптамасы же теңдештер ортосунда реле жасаган башкарылуучу кызмат эки четин тең сыртка байланыштыруу менен кирүүчү портторду өткөрүп берүүнүн алдын алат.

Бул варианттардын ортосундагы чек адатта программа эмес, сиздин интернет байланышыңыз. Эгер ISP сизди оператор деңгээлиндеги NAT'дын артына койсо, роутердеги портторду өткөрүп берүү канча болбосун жеткиликтүү кирүү чекитин жаратпайт, жана реле же mesh жайгашуусу адал жооп болуп саналат. Роутериңиз билдирген WAN дарегин сырткы дүйнө көргөн дарек менен салыштырыңыз; эгер алар башкача болсо жана роутердин мааниси жеке же жалпы диапазондо жатса, реле учуруна план түзүңүз.

Кайсы хостту тандасаңыз да, диапазондун ордуна бир портто бир протокол өткөрүңүз жана Mac'ти кирүүчү жолдон тышкары кармаңыз, эгер ошол конкреттүү продукт сиз иштетип жаткан macOS чыгарылышы үчүн сервер ролун документтештебесе.

Профилдерди таратханга чейин ролду ырастаңыз

Талапкер шлюзде угуучунун бар экенин далилдеңиз, орнотуучу жасады деп ишенүүнүн ордуна. macOS'те бул жогорудагы портторго чыпкаланган sudo lsof -nP -iUDP, ал эми пакет чыпкасынын эрежелери долбоордун бөлүгү болсо, sudo pfctl -s nat дегенди билдирет. Linux'те ss -lunp ошол эле фактыларды эч кандай эки маанисиз көрсөтөт.

Андан кийин тармактын сыртынан, протоколдун өзүн колдонуп сынаңыз. Ping азды далилдейт: ICMP көп учурда чыпкаланат жана UDP 51820 жөнүндө эч нерсе айтпайт. Толук журнал менен кардардын кол алышуусу, уюлдук интернеттеги телефондон иштетилген, эң арзан чыныгы сынак, анткени ал алыскы кесиптеш жүрө турган жол менен жүрөт.

Ошондон кийин гана кардар профилдерине кол тийгизесиз. Mac'те scutil --nc list система билген VPN кызматтарын басып чыгарат; эгер жаңы курулган шлюз алардын арасында болбосо, сиз сынаган машинадан башка машинаны жөндөп жатасыз. Эгер кол алышуу LAN'да ийгиликтүү болуп, сырттан ийгиликсиз болсо, күнөө кирүүчү жолдо: NAT эрежеси, провайдердин CGNAT'ы же шлюздеги firewall, ошол тартипте.

Бир нерсе куруудан мурун төрт пунктту чечиңиз:

• Байланышты кайсы тарап баштайт, сиздин Mac же алыскы түзмөк.
• Кабыл алуучу хосттун OS чыгарылышы жана продукты чындап эле сервер ролун колдойбу.
• ISP сизге жалпы жеткиликтүү коомдук дарек береби.
• Шлюз кайсы бир портту жана протоколду кабыл алат, жана анын артында кайсы кызмат жооп берет.

Кийинки кадам конкреттүү: шлюз хостту тандаңыз, анын угуучусун сырттан ырастаңыз, жана ошондон кийин гана Mac'те ага багытталган кардар жазуусун түзүңүз.