Kā izvēlēties Mac VPN klientu jau esošajai vārtejai

Lejupielādes lapā parādās sešas Mac VPN programmas, un neviena no tām nesaka, kuru pieņems darba devēja vārteja. Tā nav veikala plaisa; tā ir nodošanas plaisa. Viens SSL VPN ir produktu saime, nevis protokols, tāpēc divas vārtejas ar vienādu pierakstīšanās ekrānu var prasīt dažādus klientus. Šo secību izmantoju, kad kāds man iedod Mac un servera adresi: noskaidrojiet, ko runā vārteja, izvēlieties tam atbilstošu klientu un pēc tam pārbaudiet maršrutus un DNS, pirms uzticat tunelim darbu.

Sāciet ar vārteju, nevis ar lietotņu veikalu

Lietotne darbojas jūsu Mac datorā, bet savienojums ir kaut kam citam jāpieņem un jādod piekļuve: vārtejai ar operatoru, adresi, saderīgiem iestatījumiem un veidu, kā jūs autorizēt. Bezmaksas klients var būt laba programmatūra un tomēr nesniegt nevienu no tā. Piekļuve darbam, mājas vārteja un komerciāla interneta izeja ir trīs dažādi sākumpunkti, kas nejauši dala vienu un to pašu lejupielādes lapu.

Pirms kaut ko instalējat vai nomaināt, iegūstiet četras atbildes no tā, kas uztur pakalpojumu:

• Piekļuves režīms: pārlūka portāls, atlasītas programmas piekļuve vai pilns tīkla tunelis. Tas nosaka, vai klients vispār ir vajadzīgs.

• Vārtejas saime un atbalstītā versija: produkts, ieslēgtais pakalpojums un klienta versija, kas joprojām atbalsta jūsu macOS versiju un Mac aparatūru.

• Autentifikācija: parole ar MFA, pierakstīšanās pārlūkā, ierīces sertifikāts vai stāvokļa pārbaude. Klients bez apstiprinātās plūsmas pieslēgsies un pēc tam tiks noraidīts.

• Īpašumtiesības: uzticams lejupielādes vai pārvaldības avots, paredzētais profils un tas, kas to atbalsta, kad tas salūzt.

Īpašumtiesības ir punkts, ko cilvēki izlaiž. Pārvaldītā Mac profilu bieži piegādā organizācijas pārvaldības sistēma, un ar roku veidotu konfigurāciju var nomainīt nākamajā pārbaudē. Pajautājiet, vai no jums tiek gaidīts, ka kaut ko instalēsiet paši, pirms meklējat trešās puses programmu.

SSL VPN ir saimes apzīmējums, nevis protokols

TLS var aizsargāt savienojumu, kamēr produktam raksturīgā apmaiņa tā iekšienē apstrādā pierakstīšanos, sesijas piešķiršanu un tuneļa datplūsmu. Tieši šī iekšējā apmaiņa klientam ir jāīsteno. Pārlūks, kas sasniedz vārtejas HTTPS pierakstīšanās lapu, pierāda sertifikātu ķēdi un tīmekļa serveri, bet nepierāda, ka nesaistīta VPN programma var uzbūvēt tuneli uz to pašu mašīnu.

OpenConnect ir skaidrākais piemērs, ko zinu. Tā augšupējā dokumentācija uzskaita atsevišķus protokolu režīmus dažādām vārteju saimēm un atdala savietojamību no oficiālā ražotāja atbalsta. Ja katrs SSL VPN runātu vienu protokolu, šie režīmi nebūtu vajadzīgi.

OpenVPN profilam ir tas pats ierobežojums pretējā virzienā: tas ir importa formāts OpenVPN saderīgam izvietojumam. TLS kā būvbloka kopīgošana nepadara to par patvaļīgas uzņēmuma vārtejas konfigurācijas failu. Tāpēc strādājoša pierakstīšanās pārlūkā ir neīsts pozitīvs: piekļuve portālam var izdoties, kamēr tuneļa nav, un pacēlušos tuneli vēlāk var noraidīt stāvokļa pārbaude.

Saskaņojiet klientu ar to, ko runā vārteja

Kad saime ir zināma, izvēle ātri sašaurinās. Šī ir atbilstības tabula, ko pārbaudu vispirms, un pēdējā kolonna ir svarīgāka par jebkuru programmas vērtējumu.

Divas rindas ir pelnījušas brīdinājumu. Iebūvētais macOS klients ir īsta IKEv2 realizācija, nevis vispārīgs SSL VPN klients: tam paredzētam pakalpojumam vajag pareizu profilu, gaidīto servera identitāti un akreditācijas datus, un pārvaldītā mašīnā šis profils var būt bloķēts. OpenConnect vienā binārajā failā aptver vairākus ražotāju protokolus, taču tā projekts nepretendē uz ražotāja atbalstu; resursdatora skenēšana, vārtejas sūtītie sadalītā tuneļa noteikumi vai konkrēta SSO plūsma var būt tikai ražotāja klientā.

WireGuard ir tāda pati forma. Pakalpojums dod vienādrangus, klients dod tuneli, un OpenVPN profils nav aizstājējs. Viens macOS krokas: App Store klients savus tuneļus tur tīkla paplašinājumā, tāpēc wg show no Homebrew rīkiem var neko neziņot, kamēr saskarne ir aktīva. Pārbaudiet ar maršrutiem un datplūsmu.

Konfigurējiet, pēc tam pārbaudiet noteiktā secībā

Instalējiet vienu klientu un vienu profilu un pierakstiet, ko mainījāt. Pirms pieslēgšanās fiksējiet sākotnējo stāvokli, lai varētu pateikt, ko tunelis maina:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Pieslēdzieties ar doto profilu un atkārtojiet tās pašas komandas. Pilnā tunelī noklusējuma maršrutam jānorāda uz utun saskarni; sadalītā tunelī jāmaršrutē tikai iekšējie prefiksi, un jūsu publiskajai izejai jāizskatās nemainītai. DNS ir tā puse, kas parasti paliek salauzta: scutil --dns uzskaita atrisinātājus tādā secībā, kādā sistēma tos izmantos, un iekšējais atrisinātājs zem publiskā sūtīs iekšējos nosaukumus nepareizajam serverim.

OpenVPN pakalpojumam Tunnelblick ir saprātīgs bezmaksas klients, un tā paša rokasgrāmata atklāti runā par trūkstošo pusi: tas nesniedz VPN pakalpojumu. Veiciet dubultklikšķi uz saņemtā .ovpn faila, ļaujiet Tunnelblick to instalēt un pirms paļaujaties pārbaudiet laidienu pret savu macOS versiju.

Ražotāja vārtejai es bieži testēju ar OpenConnect no komandrindas:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Rīks izdrukā saņemto sertifikātu un nogaida, pirms uzticas nezināmai ķēdei; šis uzvedne ir funkcija, un piespraušana ar --servercert pin-sha256:... ir labāka par brīdinājuma pieņemšanu, ko neizlasījāt. Ctrl-C pārtrauc tuneli, jo priekšplānā strādājošam openconnect nav ne izslēgšanas slēdža, ne atkārtotas savienošanas loģikas. Tas ir piemērots diagnostikas sesijai un slikts noklusējums ikdienas darbam.

Kad nav vārtejas, ar ko saskaņot

Daži nāk ar pretēju problēmu: nav operatora, nav adreses, nav pakalpojuma. Bezmaksas Mac programma nevar radīt ienākošu sasniedzamību mājas maršrutētājā. Ja vēlaties savu tīklu no viesnīcas, kādam mājās jāuztur vārteja, jālabo tā, jāpublicē vai jāatrisina tās adrese un jāizlemj, kuras ierīces ir sasniedzamas.

Ja vēlaties citu interneta izeju, nevis piekļuvi privātam tīklam, izvēlieties pakalpojumu pirms klienta. Tukšs profilu saraksts atsevišķā klientā bieži nav salauzts bezmaksas abonements; var būt, ka abonementa nav un serveris nav pievienots. Turiet atsevišķi arī izmaksas: klienta licence, pakalpojuma plāns un pašu uzturēta vārteja ir trīs dažādi pirkumi.

Darba Mac pievieno politikas slāni. Bezmaksas programma var būt nepareiza arī tad, kad tā pieslēdzas, jo apstiprinātais klients var pieprasīt ierīces pārbaudes vai autentifikācijas plūsmu, kādas alternatīvai nav. Lūdziet apstiprinātu alternatīvu, nevis kopējiet akreditācijas datus starp nesaistītām programmām, un neuzskatiet platformas aizsardzības izslēgšanu par saderības labojumu.

Attālinātās darbvirsmas skatītājs arī ir cits produkts. Tas rāda sesiju citā datorā; tas nedod jūsu Mac vietējām programmām to tīkla ceļu, ko dod tunelis.

Īss kontrolsaraksts pirms pirmās īstās sesijas

Rakstiski nosauciet vārtejas saimi un piekļuves režīmu, instalējiet tikai tiem atbilstošo klientu un pierakstiet izmantoto profilu. Pēc tam ar īstu datplūsmu apstipriniet trīs lietas: tuneļa uzstādītos maršrutus, atrisinātāju secību un vienu iekšēju programmu, kas sasniegta pēc nosaukuma, nevis IP.

Ja kaut kas neizdodas, mainiet vienu mainīgo vienlaikus: klientu, profilu, autentifikācijas plūsmu. Portāls, kas ielādējas, kamēr tunelis atsakās sākties, atdala tīmekļa servera problēmu no klienta saderības problēmas. Kad darba pakalpojums atbild un publiskais ceļš uzvedas kā gaidīts, jums ir nosaukts, atbalstīts risinājums, nevis minējumu kaudze.