Kaip pasirinkti Mac VPN klientą jau turimiems vartams

Atsisiuntimo puslapyje matomi šeši Mac VPN sprendimai, ir nė vienas nesako, kurį priims darbdavio vartai. Tai ne parduotuvės spraga, o perdavimo spraga. Vienas SSL VPN yra produktų šeima, o ne protokolas, todėl du vartai su vienodu prisijungimo langu gali reikalauti skirtingų klientų. Šios tvarkos laikausi, kai kas nors paduoda man Mac ir serverio adresą: išsiaiškinkite, ką kalba vartai, pasirinkite tam tinkantį klientą ir tada patikrinkite maršrutus bei DNS, prieš patikėdami tuneliui darbą.

Pradėkite nuo vartų, o ne nuo programėlių parduotuvės

Programėlė veikia jūsų Mac, bet kažkas kitas turi priimti ryšį ir suteikti prieigą: vartai su operatoriumi, adresu, suderinamais nustatymais ir būdu jus įgalioti. Nemokamas klientas gali būti gera programinė įranga ir vis tiek neduoti nė vieno iš šių dalykų. Prieiga prie darbo, namų vartai ir komercinė interneto išėjimas yra trys skirtingi starto taškai, kurie atsitiktinai dalijasi vienu atsisiuntimo puslapiu.

Prieš ką nors diegdami ar keisdami, gaukite keturis atsakymus iš to, kas valdo paslaugą:

• Prieigos režimas: naršyklės portalas, pasirinktos programos prieiga arba visas tinklo tunelis. Tai nusprendžia, ar kliento apskritai reikia.

• Vartų šeima ir palaikoma versija: produktas, įjungta paslauga ir kliento versija, kuri vis dar palaiko jūsų macOS versiją ir Mac aparatinę įrangą.

• Autentifikavimas: slaptažodis su MFA, prisijungimas naršyklėje, įrenginio sertifikatas arba būsenos patikra. Klientas be patvirtinto srauto prisijungs ir tada bus atmestas.

• Nuosavybė: patikimas atsisiuntimo ar valdymo šaltinis, numatytas profilis ir kas palaiko, kai jis sugenda.

Nuosavybė yra punktas, kurį žmonės praleidžia. Valdomame Mac profilis dažnai ateina per organizacijos valdymo sistemą, o rankiniu būdu sudaryta konfigūracija gali būti pakeista per kitą patikrinimą. Paklauskite, ar iš jūsų tikimasi pačiam ką nors įdiegti, prieš ieškant trečiosios šalies programos.

SSL VPN yra šeimos žymė, o ne protokolas

TLS gali apsaugoti ryšį, o produkto specifinis mainas viduje tvarko prisijungimą, sesijos priskyrimą ir tunelio srautą. Būtent šį vidinį mainą klientas turi įgyvendinti. Naršyklė, pasiekianti vartų HTTPS prisijungimo puslapį, įrodo sertifikatų grandinę ir žiniatinklio serverį, bet neįrodo, kad nesusijusi VPN programa gali sukurti tunelį į tą pačią mašiną.

OpenConnect yra aiškiausias pavyzdys, kurį žinau. Jo aukštesnio lygio dokumentacija išvardija atskirus protokolų režimus skirtingoms vartų šeimoms ir atskiria sąveikumą nuo oficialaus gamintojo palaikymo. Jei kiekvienas SSL VPN kalbėtų vieną protokolą, tų režimų nereikėtų.

OpenVPN profilis turi tą patį apribojimą priešinga kryptimi: tai importo formatas su OpenVPN suderinamam diegimui. TLS kaip statybinio bloko bendrinimas nepaverčia jo bet kokių įmonės vartų konfigūracijos failu. Todėl veikiantis prisijungimas naršyklėje yra klaidingai teigiamas: prieiga prie portalo gali pavykti, kai tunelio nėra, o pakilęs tunelis vėliau vis tiek gali būti atmestas būsenos patikros.

Pritaikykite klientą tam, ką kalba vartai

Kai šeima žinoma, pasirinkimas greitai susiaurėja. Tai atitikmenų lentelė, kurią tikrinu pirmiausia, o paskutinė skiltis svarbesnė už bet kokį programos vertinimą.

Dvi eilutės vertos įspėjimo. Integruotas macOS klientas yra tikra IKEv2 realizacija, o ne bendras SSL VPN klientas: jam skirta paslauga reikalauja teisingo profilio, tikėtinos serverio tapatybės ir prisijungimo duomenų, o valdomoje mašinoje tas profilis gali būti užrakintas. OpenConnect viename binariniame faile apima kelis gamintojų protokolus, bet jo projektas nepretenduoja į gamintojo palaikymą; hossto skenavimas, vartų siunčiamos padalinto tunelio taisyklės ar konkretus SSO srautas gali būti tik gamintojo kliente.

WireGuard turi tą pačią formą. Paslauga duoda peerus, klientas duoda tunelį, o OpenVPN profilis nėra pakaitalas. Viena macOS raukšlė: App Store klientas laiko savo tunelius tinklo plėtinyje, todėl wg show iš Homebrew įrankių gali nieko nepranešti, nors sąsaja veikia. Tikrinkite maršrutais ir srautu.

Sukonfigūruokite, tada patikrinkite nustatyta tvarka

Įdiekite vieną klientą ir vieną profilį ir pasižymėkite, ką pakeitėte. Prieš jungdamiesi užfiksuokite pradinę būseną, kad galėtumėte pasakyti, ką keičia tunelis:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Prisijunkite su pateiktu profiliu ir pakartokite tas pačias komandas. Viso tunelio atveju numatytasis maršrutas turėtų rodyti į utun sąsają; su padalintu tuneliu turėtų būti maršrutizuoti tik vidiniai prefiksai, o viešasis išėjimas turėtų atrodyti nepakitęs. DNS yra ta pusė, kuri dažniausiai lieka sugedusi: scutil --dns išvardija sprendėjus ta tvarka, kokia sistema juos naudos, o vidinis sprendėjas, esantis žemiau viešojo, vidinius vardus siųs ne tam serveriui.

OpenVPN paslaugai Tunnelblick yra pagrįstas nemokamas klientas, o jo paties vadovas atvirai kalba apie trūkstamą pusę: jis neteikia VPN paslaugos. Dukart spustelėkite gautą .ovpn, leiskite Tunnelblick jį įdiegti ir prieš pasikliaudami patikrinkite versiją su savo macOS versija.

Gamintojo vartams dažnai testuoju su OpenConnect komandų eilutėje:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Įrankis atspausdina gautą sertifikatą ir palaukia, prieš pasitikėdamas nežinoma grandine; šis raginimas yra funkcija, o prispaudimas su --servercert pin-sha256:... yra geriau nei priimti įspėjimą, kurio neskaitėte. Ctrl-C nutraukia tunelį, nes priekiniame plane veikiantis openconnect neturi nei išjungiklio, nei prisijungimo iš naujo logikos. Tai tinka diagnostikos sesijai ir yra prastas numatytasis kasdieniam darbui.

Kai nėra vartų, prie kurių derintis

Kai kurie ateina su priešinga problema: nėra operatoriaus, adreso, paslaugos. Nemokama Mac programa negali sukurti gaunamo pasiekiamumo namų maršrutizatoriuje. Jei norite savo tinklo iš viešbučio, kažkas turi namie valdyti vartus, juos lopyti, paskelbti ar išspręsti jų adresą ir nuspręsti, kurie įrenginiai pasiekiami.

Jei norite kito interneto išėjimo, o ne prieigos prie privataus tinklo, paslaugą rinkitės prieš klientą. Tuščias profilių sąrašas atskirame kliente dažnai nėra sugedusi nemokama prenumerata; gali būti, kad prenumeratos nėra ir serveris neprijungtas. Išlaidas irgi laikykite atskirai: kliento licencija, paslaugos planas ir pačių valdomi vartai yra trys skirtingi pirkiniai.

Darbinis Mac prideda politikos sluoksnį. Nemokama programa gali būti netinkama net prisijungusi, nes patvirtintas klientas gali reikalauti įrenginio patikrų ar autentifikavimo srauto, kurio alternatyva neturi. Prašykite patvirtintos alternatyvos, o ne kopijuokite prisijungimo duomenis tarp nesusijusių programų, ir nelaikykite platformos apsaugų išjungimo suderinamumo taisymu.

Nuotolinio darbalaukio peržiūros priemonė taip pat yra kitas produktas. Ji rodo sesiją kitame kompiuteryje; ji neduoda jūsų Mac vietinėms programoms tinklo kelio, kurį duoda tunelis.

Trumpas kontrolinis sąrašas prieš pirmą tikrą sesiją

Raštu įvardykite vartų šeimą ir prieigos režimą, įdiekite tik jiems tinkantį klientą ir užsirašykite naudotą profilį. Tada su tikru srautu patvirtinkite tris dalykus: tunelio įdiegtus maršrutus, sprendėjų tvarką ir vieną vidinę programą, pasiektą vardu, o ne IP.

Jei kažkas nepavyksta, keiskite po vieną kintamąjį: klientą, profilį, autentifikavimo srautą. Portalas, kuris įkeliamas, kai tunelis atsisako kilti, atskiria žiniatinklio serverio problemą nuo kliento suderinamumo problemos. Kai darbo paslauga atsako ir viešasis kelias elgiasi kaip tikėtasi, turite įvardytą, palaikomą sprendimą, o ne spėlionių krūvą.