Mac VPN iestatījumi nepalaiž serveri: kur mīt vārteja

Divus dažādus darbus macOS sauc VPN vārdā, un iestatījumu panelis apkalpo tikai vienu no tiem. Ja vēlaties, lai šī Mac datora trafiks izietu caur pakalpojumu sniedzēju vai attālinātu vārteju, pietiek ar klienta ierakstu. Ja vēlaties no viesnīcas istabas sasniegt printeri, NAS vai administrēšanas lapu mājas tīklā, kaut kam šajā tīklā ir jāpieņem savienojumi no ārpuses, un pašreizējais Mac pēc noklusējuma nav tas kaut kas. Trīs jautājumi nosaka, kurā gadījumā jūs esat, un ir vērts uz tiem atbildēt pirms adreses ievadīšanas laukā.

Klienta ieraksts nosauc galamērķi, nevis klausītāju

Sistēmas iestatījumi > Tīkls > VPN sadaļā macOS Ventura un jaunākās versijās lauki, ko vecākas versijas turēja Tīkla iestatījumos, apraksta, kā sasniegt kāda cita galapunktu: servera adrese, attālinātais ID, konts vai sertifikāts un neobligāti savienošanās pēc pieprasījuma noteikumi. Saglabājot šo ierakstu, savienojums tiek saglabāts jūsu Mac tīkla konfigurācijā. Nekas šajā procesā nesaista portu, neatver klausītāju un nereģistrē attālinātu lietotāju.

To var pārbaudīt no čaulas. Mac datorā, kuru turat aizdomās par apkalpošanu, palaidiet sudo lsof -nP -iUDP un meklējiet portus, ko izmanto jūsu protokols: 500 un 4500 protokolam IKEv2, 1194 OpenVPN noklusējumam, 51820 WireGuard. Dators, kas ir tikai klients, rāda ligzdas, kas savienotas pārī ar attālinātu adresi un portu, nevis aizstājējsaistījumu, ko varētu sasniegt jebkas internetā. Tunelī, kas darbojas Network Extension iekšienē, var paslēpties no lsof, tāpēc jebkurā gadījumā pārbaudiet arī lietotnes statusa paneli; to, ko neatradīsiet, ir Apple iestatījums, kas pārvērš šo Mac par vārteju.

Trīs jautājumi atdala abas lomas

Izstrādājiet tos pēc kārtas. Pirmais parasti nosaka pārējo, un trešais ir vieta, kur lielākā daļa Mac specifiskās plānošanas aiziet greizi.

1. Kas sāk sarunu? Ja jūsu Mac zvana uz āru un otra puse atbild, jums vajag klientu. Ja ierīcēm internetā ir jāzvana uz iekšu, lai sasniegtu jūsu tīklu, jums vajag vārteju ar publisku ieejas punktu, un Mac var palikt šīs vārtejas klients.

2. Kam jābūt sasniedzamam, kamēr tunelis ir pacelts? Viens pakalpojums vienā resursdatorā ir portu pāradresācijas lēmums. Viss apakštīkls, tostarp nosaukumu atrisināšana, ir maršrutēšanas un DNS lēmums, un tas maina to, kas vārtejai jāpārsūta, nevis to, ko saka klienta ieraksts.

3. Kura OS versija darbina pieņēmēju pusi? Mac datoriem šim jautājumam ir skaidra atbilde. Apple norāda VPN kā izņemtu no macOS Server 5.7.1, un pati macOS Server lietotne tika pārtraukta 2022. gada 21. aprīlī; pakalpojuma vēstures paziņojums ir lapa, kas jālasa, kad veca apmācība ved jūs caur VPN pakalpojuma izvēles rūtiņu, kuras vairs nav.

Kad pirmā atbilde ir „kāds no ārpuses sāk“, pārtrauciet meklēt slēdzi Mac klienta panelī un dodieties izvēlēties resursdatoru, kas noslēgs tuneli.

Kur vārteja var mītēt tā vietā

Četri izkārtojumi aptver lielāko daļu mājas un mazo biroju gadījumu. Maršrutētājs ar īstu servera režīmu, nevis klienta režīmu ar citu etiķeti, noslēdz tuneli malā un uztur zemu resursdatoru skaitu, taču par cenu, ka esat piesaistīts šīs programmaparatūras protokolu atbalstam. NAS vai pastāvīgi ieslēgts mini dators darbina ražotāja servera pakotni un atstāj jums lasāmus žurnālus. Neliels mākoņa VM dod jums jūsu kontrolētu publisku adresi un sasniedz mājas caur otru tuneli. WireGuard bāzēts mesh pārklājums vai pārvaldīts pakalpojums, kas pārsūta starp vienaudžiem, apiet ienākošo portu pāradresāciju, liekot abiem galiem zvanīt uz āru.

Robeža starp šīm iespējām parasti ir jūsu interneta savienojums, nevis programmatūra. Ja interneta pakalpojumu sniedzējs jūs ievieto aiz operatora līmeņa NAT, nekāda maršrutētāja portu pāradresācija nerada sasniedzamu ieejas punktu, un godīgā atbilde ir releja vai mesh izkārtojums. Salīdziniet WAN adresi, ko ziņo jūsu maršrutētājs, ar adresi, ko redz ārpasaule; ja tās atšķiras un maršrutētāja vērtība ir privātā vai koplietotā diapazonā, plānojiet releja gadījumu.

Lai kādu resursdatoru jūs izvēlētos, pārsūtiet vienu protokolu uz vienu portu, nevis diapazonu, un turiet Mac ārpus ienākošā ceļa, ja vien konkrētais produkts nedokumentē servera lomu jūsu darbinātajai macOS versijai.

Apstipriniet lomu pirms profilu izsniegšanas

Uz kandidāta vārtejas pierādiet, ka klausītājs pastāv, nevis paļaujieties, ka instalētājs to izveidoja. macOS tas nozīmē sudo lsof -nP -iUDP, filtrētu uz iepriekš minētajiem portiem, un sudo pfctl -s nat, ja paketes filtra noteikumi ir dizaina daļa. Linux gadījumā ss -lunp parāda tos pašus faktus bez neskaidrībām.

Pēc tam pārbaudiet ārpus tīkla, izmantojot pašu protokolu. Ping pierāda maz: ICMP bieži tiek filtrēts un neko nepasaka par UDP 51820. Klienta rokasspiediens ar detalizētu žurnālu, palaists no tālruņa mobilajos datos, ir lētākais īstais tests, jo tas iet to pašu ceļu, ko ies attālināts kolēģis.

Tikai pēc tam jūs aiztiekat klienta profilus. Mac datorā scutil --nc list izdrukā VPN pakalpojumus, ko sistēma zina; ja tikko būvētā vārteja tajos nav, jūs konfigurējat citu mašīnu, ne to, kuru pārbaudījāt. Ja rokasspiediens izdodas LAN un neizdodas no ārpuses, vaina ir ienākošajā ceļā: NAT noteikums, pakalpojumu sniedzēja CGNAT vai ugunsmūris uz vārtejas, šajā secībā.

Pirms kaut ko būvējat, izlemiet četrus punktus:

• Kura puse uzsāk savienojumu, jūsu Mac vai attālināta ierīce.
• Vai pieņēmēja resursdatora OS versija un produkts patiešām atbalsta servera lomu.
• Vai jūsu interneta pakalpojumu sniedzējs vispār dod sasniedzamu publisku adresi.
• Kuru vienīgo portu un protokolu vārteja pieņems un kurš pakalpojums aiz tās atbild.

Nākamais solis ir konkrēts: izvēlieties vārtejas resursdatoru, apstipriniet tās klausītāju no ārpuses, un tikai tad izveidojiet Mac klienta ierakstu, kas uz to norāda.