Mac VPN nustatymai nepaleidžia serverio: kur gyvena tarpinė

Du skirtingi darbai macOS vadinasi VPN, o nustatymų skydelis tvarko tik vieną jų. Jei norite, kad šio Mac srautas išeitų per teikėją arba nuotolinę tarpinę, pakanka kliento įrašo. Jei norite iš viešbučio kambario pasiekti spausdintuvą, NAS ar administravimo puslapį namų tinkle, kažkas tame tinkle turi priimti ryšius iš išorės, o dabartinis Mac pagal nutylėjimą nėra tas kažkas. Tris klausimai nustato, kuriuo atveju esate, ir verta į juos atsakyti prieš įrašant adresą į lauką.

Kliento įrašas įvardija tikslą, o ne klausytoją

macOS Ventura ir naujesnėse versijose, skiltyje Sistemos nustatymai > Tinklas > VPN, laukai, kuriuos senesnės versijos laikė Tinklo nuostatose, aprašo, kaip pasiekti kito žmogaus galinį tašką: serverio adresas, nuotolinis ID, paskyra arba sertifikatas ir pasirenkamos prisijungimo pagal pareikalavimą taisyklės. Išsaugant tą įrašą, ryšys įrašomas į jūsų Mac tinklo konfigūraciją. Niekas šiame procese nesusieja prievado, neatidaro klausytojo ir neužregistruoja nuotolinio naudotojo.

Tai galite patikrinti iš shell. Mac, kurį įtariate teikiant, paleiskite sudo lsof -nP -iUDP ir ieškokite prievadų, kuriuos naudoja jūsų protokolas: 500 ir 4500 IKEv2, 1194 numatytajam OpenVPN, 51820 WireGuard. Tik klientu esantis kompiuteris rodo lizdus, susietus su nuotoliniu adresu ir prievadu, o ne pakaitinį susiejimą, kurį pasiektų bet kas internete. Tuneliai, veikiantys Network Extension viduje, gali pasislėpti nuo lsof, todėl vis tiek patikrinkite ir programos būsenos skydelį; ko nerasite, tai Apple nuostata, kuri paverčia šį Mac tarpine.

Trys klausimai atskiria du vaidmenis

Peržiūrėkite juos iš eilės. Pirmasis paprastai nulemia likusius, o trečiasis yra vieta, kur labiausiai klystama planuojant būtent Mac.

1. Kas pradeda pokalbį? Jei jūsų Mac skambina į išorę ir kita pusė atsako, jums reikia kliento. Jei įrenginiai internete turi skambinti į vidų, kad pasiektų jūsų tinklą, jums reikia tarpinės su viešu įėjimo tašku, o Mac gali likti tos tarpinės klientu.

2. Kas turi būti pasiekiama, kol tunelis pakeltas? Viena paslauga viename hoste yra prievadų persiuntimo sprendimas. Visas potinklis, įskaitant vardų skyrimą, yra maršrutizavimo ir DNS sprendimas, ir tai keičia, ką tarpinė turi persiųsti, o ne ką sako kliento įrašas.

3. Kuri OS versija paleidžia priimančiąją pusę? Mac kompiuteriams šis klausimas turi griežtą atsakymą. Apple nurodo VPN kaip pašalintą iš macOS Server 5.7.1, o pati macOS Server programa buvo nutraukta 2022 metų balandžio 21 dieną; paslaugos istorijos pranešimas yra puslapis, kurį reikia perskaityti, kai senas vadovas veda jus per VPN paslaugos žymės langelį, kurio jau nebėra.

Kai pirmasis atsakymas yra „kažkas iš išorės pradeda“, nustokite ieškoti jungiklio Mac kliento skydelyje ir eikite rinktis hosto, kuris užbaigs tunelį.

Kur tarpinė gali gyventi vietoj to

Keturi sprendimai apima daugumą namų ir mažo biuro atvejų. Maršrutizatorius su tikru serverio režimu, o ne kliento režimu su kita etikete, užbaigia tunelį krašte ir išlaiko mažą hostų skaičių, tačiau yra susietas su tos programinės įrangos protokolų palaikymu. NAS arba nuolat įjungtas mini kompiuteris paleidžia gamintojo serverio paketą ir palieka jums skaitomus žurnalus. Maža debesų VM suteikia jums jūsų kontroliuojamą viešą adresą ir pasiekia namus per antrą tunelį. WireGuard pagrindu sukurta mesh danga arba valdoma paslauga, persiunčianti tarp partnerių, apeina įeinantį prievadų persiuntimą, nes abu galai skambina į išorę.

Riba tarp tų variantų paprastai yra jūsų interneto ryšys, o ne programinė įranga. Jei interneto teikėjas jus pastato už operatoriaus lygmens NAT, joks maršrutizatoriaus prievadų persiuntimas nesukuria pasiekiamo įėjimo taško, ir sąžiningas atsakymas yra relės arba mesh sprendimas. Palyginkite WAN adresą, kurį praneša jūsų maršrutizatorius, su adresu, kurį mato išorinis pasaulis; jei jie skiriasi ir maršrutizatoriaus reikšmė yra privačiame ar bendrame diapazone, planuokite relės atvejį.

Kad ir kokį hostą pasirinktumėte, persiųskite vieną protokolą vienu prievadu, o ne diapazoną, ir laikykite Mac už įėjimo kelio, nebent tas konkretus produktas dokumentuoja serverio vaidmenį jūsų naudojamai macOS versijai.

Patvirtinkite vaidmenį prieš dalydami profilius

Kandidato tarpinėje įrodykite, kad klausytojas egzistuoja, o ne pasitikėkite, kad diegėjas jį sukūrė. macOS tai reiškia sudo lsof -nP -iUDP, filtruotą pagal aukščiau nurodytus prievadus, ir sudo pfctl -s nat, jei paketų filtro taisyklės yra dizaino dalis. Linux atveju ss -lunp rodo tuos pačius faktus be dviprasmybių.

Tada išbandykite už tinklo ribų, naudodami patį protokolą. Ping mažai ką įrodo: ICMP dažnai filtruojamas ir nieko nesako apie UDP 51820. Kliento rankos paspaudimas su išsamiu žurnalu, paleistas iš telefono mobiliojo ryšio duomenimis, yra pigiausias tikras bandymas, nes eina tuo pačiu keliu, kuriuo eis nuotolinis kolega.

Tik po to liečiate kliento profilius. Mac kompiuteryje scutil --nc list išspausdina VPN paslaugas, kurias sistema žino; jei ką tik sukurta tarpinė jų tarpe nėra, jūs konfigūruojate kitą kompiuterį nei tą, kurį išbandėte. Jei rankos paspaudimas pavyksta LAN tinkle, bet nepavyksta iš išorės, klaida yra įėjimo kelyje: NAT taisyklė, teikėjo CGNAT arba tarpinės ugniasienė, ta tvarka.

Prieš ką nors statydami, išspręskite keturis punktus:

• Kuri pusė inicijuoja ryšį, jūsų Mac ar nuotolinis įrenginys.
• Ar priimančiojo hosto OS versija ir produktas tikrai palaiko serverio vaidmenį.
• Ar jūsų interneto teikėjas apskritai duoda pasiekiamą viešą adresą.
• Kurį vienintelį prievadą ir protokolą priims tarpinė ir kuri paslauga už jos atsako.

Kitas žingsnis konkretus: pasirinkite tarpinės hostą, patvirtinkite jos klausytoją iš išorės ir tik tada sukurkite Mac kliento įrašą, nukreiptą į ją.