Mac-VPN-Astellunge starten kee Server: wou de Gateway läit

Zwou verschidden Aufgabe droen den Numm VPN a macOS, an d'Astellungsfläch behandelt just eng dovun. Wann Dir wëllt, datt den Trafic vun dësem Mac iwwer e Provider oder e wäiten Gateway erausgeet, da geet en Client-Andrag duer. Wann Dir aus enger Hotellszimmere bis op de Printer, den NAS oder eng Admin-Säit an Ärem Heemnetzwierk wëllt, da muss eppes an dësem Netzwierk Verbindunge vu bausse akzeptéieren, an e Mac vun haut ass dat net einfach sou. Dräi Froen entscheeden, a wéien Fall Dir sidd, an et lount sech, se ze beäntweren, ier Dir eng Adress an e Feld tippt.

En Client-Andrag nennt en Zil, keen Listener

An de Systemastellungen > Netzwierk > VPN ënner macOS Ventura an duerno beschreiwen d'Felder, déi eeler Versioune ënner den Netzwierkastellungen halen, wéi een de Punkt vun engem aneren erreecht: eng Serveradress, eng wäit ID, e Kont oder Zertifikat an optional Reegele fir d'Verbannen op Ufro. Dësen Andrag ze späicheren hält eng Verbindung an der Netzwierkkonfiguratioun vun Ärem Mac. Näischt am Prozess bindet e Port, opent e Listener oder mellt e wäite Benotzer un.

Dir kënnt dat an der Shell kontrolléieren. Op engem Mac, vun deem Dir mengt, hie géif déngen, fuert sudo lsof -nP -iUDP aus a sicht d'Ports, déi Äre Protokoll benotzt: 500 a 4500 fir IKEv2, 1194 fir den Default vun OpenVPN, 51820 fir WireGuard. Eng Maschinn, déi just Client ass, weist Sockets, déi mat enger wäiter Adress a engem wäite Port gepaart sinn, net eng Wildcard-Bindung, déi jiddereen am Internet erreeche kann. Tunnelen, déi an enger Network Extension lafen, kënne sech viru lsof verstoppen, dofir kontrolléiert op alle Fall och de Statuspanel vun der App; wat Dir net fannt, ass eng Apple-Astellung, déi dësen Mac zum Gateway mécht.

Dräi Froen trennen déi zwou Rollen

Schafft se duerch, an der Rei. Déi éischt entscheet meeschtens de Rescht, an déi drëtt ass de Punkt, wou déi meescht Mac-spezifesch Planung falsch geet.

1. Wien fänkt d'Gespréich un? Wann Äre Mac erauswielt an déi aner Säit äntwert, braucht Dir en Client. Wa Geräter am Internet eraklople mussen, fir Äert Netzwierk z'erreechen, braucht Dir e Gateway mat engem ëffentlechen Agang, an de Mac kann en Client vun deem Gateway bleiwen.

2. Wat muss erreechbar sinn, wärend den Tunnel steet? Eng eenzeg Servicer um een eenzegen Host ass eng Entscheedung fir Portforwarding. En ganzt Subnetz, inklusiv der Nummopléisung, ass eng Entscheedung fir Routing an DNS, an dat ännert, wat de Gateway muss viruleeden, an net, wat den Client-Andrag seet.

3. Wéi eng OS-Versioun bedreift deen acceptéierende Säit? Fir Macen huet déi Fro eng haart Äntwert. Apple féiert VPN als vun macOS Server 5.7.1 erausgeholl, an d'App macOS Server selwer gouf den 21. Abrëll 2022 agestallt; de Avis vun der Servicegeschicht ass d'Säit, déi Dir liest, wann en aalt Tutorial Iech duerch eng Këscht fir de VPN-Service féiert, déi et net méi gëtt.

Wann déi éischt Äntwert “eppes vun bausse fänkt un” ass, da hält op, no engem Schalter an der Clientfläch vum Mac ze sichen, a gitt deen Host auswielen, deen den Tunnel ofschléisst.

Wou de Gateway soss ka wunnen

Véier Arrangementer decken déi meescht Heem- an Klengbürosfäll of. E Router mat engem richtege Servermodus, am Géigesaz zu engem Clientmodus mat enger anerer Etikett, schléisst den Tunnel um Rand of an hält d'Zuel vun den Hosten niddreg, zum Präis, datt Dir un d'Protokollënnerstëtzung vun deem Firmware gebonnen sidd. En NAS oder en ëmmer ugeschalt Mini-PC bedreift de Serverpak vum Hiersteller a léisst Iech Loggen, déi Dir liese kënnt. Eng kleng Cloud-VM gëtt Iech eng ëffentlech Adress, déi Dir kontrolléiert, an erreecht d'Heem iwwer een zweeten Tunnel. En Mesh-Overlay op WireGuard, oder e verwalteten Service, deen tëscht de Partner ëmleedt, geet der eraklappender Portforwarding aus dem Wee, andeems béid Enden erauswielen.

D'Grenz tëscht dësen Optiounen ass meeschtens Är Internetverbindung, net d'Software. Wann den ISP Iech hannert Carrier-Grade NAT setzt, produzéiert keng Portforwarding um Router en erreechbaren Agang, an en Arrangement mat Relay oder Mesh ass déi éierlech Äntwert. Vergläicht d'WAN-Adress, déi Äre Router mellt, mat der Adress, déi d'Baussewelt gesäit; wa se sech ënnerscheeden an de Wäert vum Router an engem private oder gedeelte Beräich läit, da plangt de Fall mam Relay an.

Wéien Host Dir och auswielt, leet ee Protokoll op engem Port weider amplaz engem Beräich, a haalt de Mac aus dem eraklappende Wee eraus, ausser dat spezifescht Produkt dokumentéiert eng Serverroll fir déi macOS-Versioun, déi Dir bedreift.

Bestätegt d'Roll, ier Dir Profiler verdeelt

Op deem Kandidat-Gateway bewise mer, datt e Listener do ass, amplaz ze gleewen, den Installateur hätt een ugeluecht. Op macOS heescht dat sudo lsof -nP -iUDP op d'Ports uewendriwwer gefiltert, plus sudo pfctl -s nat, wann d'Regelen vum Pakfilter Deel vum Design sinn. Op Linux weist ss -lunp déi selwecht Fakten ouni Zweideutegkeet.

Dann test aus baussen dem Netzwierk, mam Protokoll selwer. Ping beweet net vill: ICMP gëtt dacks gefiltert a seet näischt iwwer UDP 51820. En Handshake vum Client mat ausféierlecher Log, vun engem Telefon op mobilen Donnéeën ausgefouert, ass dee bëllegsten echte Test, well en dee selwechte Wee geet, deen en wäite Kolleg geet.

Eréischt duerno gräift Dir d'Clientprofiler un. Op dem Mac dréckt scutil --nc list d'VPN-Servicer aus, déi de System kennt; wann de Gateway, deen Dir just gebaut hutt, net dobäi ass, da konfiguréiert Dir eng aner Maschinn wéi déi, déi Dir getest hutt. Wann den Handshake am LAN geléngt, awer vu bausse feelt, da läit de Feeler am eraklappende Wee: NAT-Reegel, CGNAT vum Provider oder eng Firewall um Gateway, an där Rei.

Ier Dir eppes baut, kläert véier Punkten:

• Wéi eng Säit d'Verbindung fänkt un, Äre Mac oder en wäit Gerät.
• Ob d'OS-Versioun an d'Produkt vum acceptéierende Host wierklech eng Serverroll ënnerstëtzen.
• Ob Ären ISP Iech iwwerhaapt eng erreechbar ëffentlech Adress gëtt.
• Wéi een eenzegen Port a Protokoll de Gateway acceptéiert, a wéi ee Service hannendrun äntwert.

Den nächste Schrëtt ass konkret: wielt de Gateway-Host, bestätegt säi Listener vu baussen, an eréischt dann erstellt den Client-Andrag um Mac, dee drop weist.