Танд байгаа гарцын хувьд Mac VPN үйлчлүүлэгчийг хэрхэн сонгох вэ

Зургаан Mac VPN апп татаж авах хуудсан дээр гарч ирэх бөгөөд тэдгээрийн аль нь ч таны ажил олгогчийн гарцыг хүлээн авахыг заадаггүй. Энэ нь дэлгүүрийн цоорхой биш юм; энэ нь дамжуулалтын завсар юм. SSL VPN нь протокол биш бүтээгдэхүүний гэр бүл тул ижил нэвтрэх дэлгэцтэй хоёр гарц нь өөр өөр үйлчлүүлэгч шаардаж болно. Хэн нэгэн надад Mac болон серверийн хаяг өгөх үед миний ашигладаг дарааллыг энд харуулав: гарц юу ярьж байгааг тогтоож, түүнд тохирох үйлчлүүлэгчийг сонгоод дараа нь маршрутыг шалгаад DNS хонгилд итгэхээсээ өмнө.

Апп дэлгүүрээс биш гарцаас эхэл

Энэ програм нь таны Mac дээр ажилладаг боловч өөр зүйл нь холболтыг зөвшөөрч, хандах эрх өгөх ёстой: оператор бүхий гарц, хаяг, тохирох тохиргоо болон танд зөвшөөрөл олгох арга зам. Үнэгүй үйлчлүүлэгч нь сайн програм хангамж байж болох ч эдгээрийн алийг нь ч хангадаггүй. Ажлын хандалт, гэрийн гарц, арилжааны интернетийн гарц нь татаж авах хуудсыг хуваалцах гурван өөр эхлэлийн цэг юм.

Ямар нэгэн зүйлийг суулгах эсвэл солихын өмнө уг үйлчилгээг ажиллуулдаг хүнээс дөрвөн хариулт аваарай:

• Хандалтын горим: хөтчийн портал, сонгосон програмын хандалт эсвэл бүрэн сүлжээний хонгил. Энэ нь танд үйлчлүүлэгч хэрэгтэй эсэхийг шийднэ.

• Gateway гэр бүл болон дэмжигдсэн хувилбар: бүтээгдэхүүн, идэвхжүүлсэн үйлчилгээ болон таны macOS бүтээх болон Mac техник хангамжийг дэмждэг үйлчлүүлэгчийн хувилбар.

• Баталгаажуулалт: нууц үг нэмэх MFA, хөтчөөр нэвтрэх, төхөөрөмжийн гэрчилгээ эсвэл биеийн байдлыг шалгах. Зөвшөөрөгдсөн урсгал байхгүй үйлчлүүлэгч холбогдож дараа нь татгалзана.

• Өмчлөл: итгэмжлэгдсэн татаж авах эсвэл удирдлагын эх сурвалж, төлөвлөсөн профайл, түүнийг эвдэрсэн үед хэн дэмждэг.

Өмчлөх нь хүмүүсийн алгасдаг зүйл юм. Удирдлагатай Mac дээр профайл нь ихэвчлэн байгууллагын удирдлагын системээр дамждаг бөгөөд дараагийн бүртгэлд гараар хийсэн тохиргоог сольж болно. Гуравдагч талын програм хайхаасаа өмнө өөрөө ямар нэгэн зүйл суулгах шаардлагатай эсэхийг асуу.

SSL VPN нь протокол биш гэр бүлийн шошго юм

TLS нь холболтыг хамгаалж чаддаг бол түүний доторх бүтээгдэхүүнд зориулсан солилцоо нь нэвтрэх, сесс хуваарилалт болон туннелийн урсгалыг зохицуулдаг. Энэ дотоод солилцоо бол үйлчлүүлэгчийн хэрэгжүүлэх ёстой зүйл юм. Гарц HTTPS нэвтрэх хуудсанд хүрч буй хөтөч нь сертификатын сүлжээ болон вэб серверийг нотолж байна; Энэ нь хамааралгүй VPN аппликейшн нь нэг машин руу хонгил барьж чадна гэдгийг батлахгүй.

OpenConnect бол миний мэдэх хамгийн тод жишээ юм. Its дээд талын баримт бичиг өөр өөр гарцын гэр бүлүүдэд зориулсан тусдаа протоколын горимуудыг жагсааж, албан ёсны үйлдвэрлэгчийн дэмжлэгээс харилцан ажиллах чадварыг тусгаарладаг. Хэрэв SSL VPN бүр нэг протокол ярьдаг бол эдгээр горимууд шаардлагагүй болно.

OpenVPN профайл нь эсрэгээрээ ижил хязгаарлалттай: энэ нь OpenVPN нийцтэй байршуулалтын импортын формат юм. TLS-г барилгын блок болгон хуваалцах нь үүнийг дурын байгууллагын гарцын тохиргооны файл болгон хувиргахгүй. Тийм ч учраас ажиллаж байгаа хөтөчийн нэвтрэлт нь худал эерэг байдаг: хонгил байхгүй үед портал хандалт амжилттай болох ба гарч ирсэн хонгилыг дараа нь байрлалыг шалгаснаар татгалзаж болно.

Үйлчлүүлэгчийг гарцын хэлж байгаа зүйлтэй тааруулна уу

Нэгэнт гэр бүлээ мэддэг бол сонголт хурдан нарийсдаг. Энэ бол миний хамгийн түрүүнд шалгаж байгаа зураглал бөгөөд сүүлийн багана нь ямар ч програмын үнэлгээнээс илүү чухал юм.

Хоёр эгнээ анхааруулга өгөх ёстой. Суурилуулсан macOS үйлчлүүлэгч нь жинхэнэ IKEv2 хэрэгжүүлэлт бөгөөд ерөнхий SSL VPN үйлчлүүлэгч биш: түүнд зориулагдсан үйлчилгээ нь зөв профайл, хүлээгдэж буй серверийн таних тэмдэг, итгэмжлэл шаарддаг бөгөөд удирддаг машин дээр энэ профайлыг хааж болно. OpenConnect нь нэг хоёртын хувилбараас хэд хэдэн үйлдвэрлэгчийн протоколуудыг хамардаг боловч өөрийн төсөл нь үйлдвэрлэгчийн дэмжлэгийг шаарддаггүй; Хост скан хийх, гарцаар түлхэгдсэн хуваагдмал туннелийн дүрэм эсвэл тодорхой SSO урсгал нь зөвхөн үйлдвэрлэгчийн үйлчлүүлэгчид байж болно.

WireGuard ижил хэлбэртэй байна. Үйлчилгээ нь үе тэнгийнхнээ хангадаг, үйлчлүүлэгч хонгилоор хангадаг бөгөөд OpenVPN профайл нь орлуулах боломжгүй. Нэг macOS үрчлээ: App Store үйлчлүүлэгч хонгилыг Network Extension дотор нь хадгалдаг тул Homebrew хэрэгслүүдийн wg show интерфэйс ажиллаж байх үед юу ч мэдээлэх боломжгүй. Оронд нь маршрут, замын хөдөлгөөнөөр баталгаажуулна уу.

Тохируулах, дараа нь тогтмол дарааллаар баталгаажуулна уу

Нэг үйлчлүүлэгч болон нэг профайл суулгаж, юу өөрчилснөө тэмдэглэ. Холбохын өмнө үндсэн шугамыг зурж, хонгил юу өөрчлөхийг хэлж чадна:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Өгөгдсөн профайлтай холбогдож ижил тушаалуудыг давтана уу. Бүрэн хонгилын хувьд анхдагч маршрут нь utun интерфэйсийг зааж өгөх ёстой; хуваах хонгилын хувьд зөвхөн дотоод угтваруудыг чиглүүлэх ёстой бөгөөд таны нийтийн гарц өөрчлөгдөхгүй байх ёстой. DNS нь ихэвчлэн эвдэрсэн тал нь: scutil --dns систем нь тэдгээрийг ашиглах дарааллаар шийдэгчдийг жагсаадаг бөгөөд нийтийн нэгний доор байрлах дотоод шийдвэрлэгч нь дотоод нэрийг буруу сервер рүү илгээдэг.

OpenVPN үйлчилгээний хувьд Tunnelblick нь боломжийн үнэ төлбөргүй үйлчлүүлэгч бөгөөд өөрийн гарын авлага нь дутуу хагасын талаар шууд хэлдэг: энэ нь VPN үйлчилгээг нийлүүлдэггүй. Танд өгсөн .ovpn дээр давхар товшоод, Tunnelblick-д суулгахыг зөвшөөрч, мөн Хувилбараа найдахаасаа өмнө macOS хувилбартай нь харна уу.

Борлуулагчийн гарцын хувьд би командын мөрөөс OpenConnect гэж байнга туршиж үздэг:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Уг хэрэгсэл нь хүлээн авсан гэрчилгээгээ хэвлээд үл мэдэгдэх гинжин хэлхээнд итгэхээс өмнө хүлээдэг; Энэ сануулга нь онцлог шинж чанартай бөгөөд --servercert pin-sha256:...-ээр бэхлэх нь уншаагүй анхааруулгыг хүлээн авахаас илүү дээр юм. Ctrl-C хонгилыг нураадаг, учир нь урд талын нээлттэй холболт нь унтраах унтраалгагүй бөгөөд дахин холбогдох логик байхгүй. Энэ нь оношилгооны хуралдаанд тохиромжтой, харин өдөр тутмын ажилд тааруухан байдаг.

Тохирох гарц байхгүй үед

Зарим хүмүүс эсрэгээрээ асуудалтай ирдэг: оператор байхгүй, хаяг байхгүй, үйлчилгээ байхгүй. Үнэгүй Mac програм нь гэрийн чиглүүлэгч дээр дотогшоо нэвтрэх боломжийг үүсгэж чадахгүй. Хэрэв та зочид буудлаас өөрийн сүлжээтэй болохыг хүсвэл хэн нэгэн гэртээ гарц ажиллуулж, засвар хийж, хаягийг нь нийтэлж, шийдэж, аль төхөөрөмжид холбогдох боломжтойг шийдэх хэрэгтэй.

Хэрэв та хувийн сүлжээнд нэвтрэхийн оронд интернетээс өөр гарц хүсч байвал үйлчлүүлэгчээс өмнө үйлчилгээг сонгоорой. Бие даасан үйлчлүүлэгчийн хоосон профайл жагсаалт нь ихэвчлэн эвдэрсэн үнэгүй захиалга биш юм; захиалга байхгүй, серверт холбогдоогүй байж болно. Зардлаа ч тусад нь байлгаарай: үйлчлүүлэгчийн лиценз, үйлчилгээний төлөвлөгөө, өөрөө удирдах гарц нь гурван өөр худалдан авалт юм.

Ажлын Mac нь бодлогын давхарга нэмдэг. Төлбөргүй програм нь холбогдсон үед ч буруу байж болно, учир нь зөвшөөрөгдсөн үйлчлүүлэгч нь төхөөрөмжийн шалгалт эсвэл баталгаажуулалтын урсгалыг хэрэгжүүлэх өөр хувилбар байхгүй байж болзошгүй. Холбогдохгүй програмуудын хооронд итгэмжлэл хуулахын оронд зөвшөөрөгдсөн хувилбарыг асууж, платформ хамгаалалтыг идэвхгүй болгохыг нийцтэй байдлын засвар гэж үзэж болохгүй.

Алсын ширээний үзэгч нь бас өөр бүтээгдэхүүн юм. Энэ нь танд өөр компьютер дээрх сессийг харуулдаг; Энэ нь таны Mac локал програмуудад хонгилоор хангадаг сүлжээний замыг өгдөггүй.

Эхний бодит хуралдааны өмнөх товч шалгах хуудас

Гарцын гэр бүл болон хандалтын горимыг бичгээр нэрлэж, зөвхөн тэдгээрт тохирох үйлчлүүлэгчийг суулгаж, ашигласан профайлаа бичнэ үү. Дараа нь гурван зүйлийг бодит урсгалаар баталгаажуулна уу: хонгилд суулгасан маршрутууд, шийдэгчийн захиалга, IP-ээр биш нэрээр нь хүрсэн нэг дотоод програм.

Хэрэв ямар нэг зүйл бүтэлгүйтвэл нэг хувьсагчийг өөрчил: үйлчлүүлэгч, профайл, баталгаажуулалтын урсгал. Хонгил эхлүүлэхээс татгалзаж байхад ачаалагддаг портал нь вэб серверийн асуудлыг үйлчлүүлэгчийн нийцтэй байдлаас тусгаарладаг. Ажлын үйлчилгээ хариу өгч, нийтийн зам хүлээгдэж буй байдлаар ажилласны дараа та олон таамаглалын оронд нэртэй, дэмжигдсэн зохицуулалттай болно.