Mac-ийн VPN тохиргоо сервер эхлүүлэхгүй: гарц хаана байдаг

macOS дээр VPN гэдэг нэрээр хоёр өөр ажил явдаг бөгөөд тохиргооны самбар зөвхөн нэгийг нь хариуцдаг. Энэ Mac-ийн урсгал нийлүүлэгч эсвэл алсын гарцаар гадагш гарахыг хүсвэл клиентийн бичлэг хангалттай. Зочид буудлын өрөөнөөс гэрийн сүлжээний принтер, NAS эсвэл админ хуудас руу хүрэхийг хүсвэл тэр сүлжээний ямар нэгэн зүйл гаднаас ирэх холболтыг хүлээж авах ёстой бөгөөд одоогийн Mac анхдагчаар тэр зүйл биш юм. Гурван асуулт та ямар тохиолдолд байгааг шийдэх бөгөөд талбарт хаяг бичихээс өмнө тэдгээрт хариулах нь зүйтэй.

Клиентийн бичлэг очих газрыг нэрлэдэг, сонсогчийг биш

macOS Ventura ба түүнээс хойшхи хувилбарын Системийн тохиргоо > Сүлжээ > VPN хэсэгт хуучин хувилбарууд Сүлжээний тохиргоонд хадгалдаг талбарууд бусдын төгсгөлийн цэгт хэрхэн хүрэхийг тодорхойлно: серверийн хаяг, алсын ID, бүртгэл эсвэл гэрчилгээ, мөн шаардлагаар холбогдох нэмэлт дүрэм. Тэр бичлэгийг хадгалахад таны Mac-ийн сүлжээний тохиргоонд холболт хадгалагдана. Энэ үйл явцад юу ч порт холбохгүй, сонсогч нээхгүй, алсын хэрэглэгчийг бүртгэхгүй.

Үүнийг shell-ээс шалгаж болно. Үйлчлэж байна гэж та сэжиглэж буй Mac дээр sudo lsof -nP -iUDP ажиллуулж, протокол чинь ашигладаг портуудыг харна уу: IKEv2-д 500 ба 4500, OpenVPN-ийн анхдагчид 1194, WireGuard-д 51820. Зөвхөн клиент машин алсын хаяг, порттой хослосон сокетуудыг харуулдаг бөгөөд интернэтийн юу ч хүрч чадах орлуулагч холболт биш. Network Extension дотор ажилладаг туннель lsof-оос нуугдаж болох тул ямар ч тохиолдолд апп-ын төлөвийн самбарыг мөн шалгаарай; олохгүй зүйл бол энэ Mac-ийг гарц болгох Apple тохиргоо юм.

Гурван асуулт хоёр үүргийг тусгаарлана

Тэдгээрийг дарааллаар нь шийдээрэй. Эхнийх нь ихэвчлэн үлдсэнийг шийддэг бөгөөд гурав дахь нь Mac-д онцлог төлөвлөлт хамгийн их алдаа гардаг газар.

1. Яриаг хэн эхлүүлэх вэ? Хэрэв таны Mac гадагш холбогдож, нөгөө тал хариу үйлдвэл танд клиент хэрэгтэй. Хэрэв интернэт дэх төхөөрөмжүүд таны сүлжээнд хүрэхийн тулд дотогш холбогдох ёстой бол нийтийн оролтын цэг бүхий гарц хэрэгтэй бөгөөд Mac тэр гарцын клиент хэвээр үлдэж болно.

2. Туннель босоо байх үед юу хүрч болох ёстой вэ? Нэг хост дээрх нэг үйлчилгээ бол порт дамжуулалтын шийдвэр. Нэрийн шийдвэрлэлтийг оролцуулан бүхэл дэд сүлжээ нь чиглүүлэлт ба DNS-ийн шийдвэр бөгөөд энэ нь гарц юу дамжуулах ёстойг өөрчилдөг, клиентийн бичлэг юу гэж хэлж байгааг биш.

3. Хүлээн авах тал ямар OS хувилбар дээр ажилладаг вэ? Mac-уудын хувьд энэ асуултын хатуу хариулт байна. Apple VPN-ийг macOS Server 5.7.1-ээс хасагдсан гэж жагсаасан бөгөөд macOS Server апп өөрөө 2022 оны дөрөвдүгээр сарын 21-нд зогсоогдсон; үйлчилгээний түүхийн мэдэгдэл нь одоо байхгүй VPN үйлчилгээний чек хайрцгаар хуучин заавар таныг дайруулах үед унших ёстой хуудас юм.

Эхний хариулт «гаднаас хэн нэгэн эхлүүлдэг» бол Mac-ийн клиентийн самбараас унтраалга хайхаа болиод туннелийг дуусгах хост сонгохоор явна уу.

Гарц өөрөөр хаана байж болох вэ

Дөрвөн зохион байгуулалт гэр, жижиг оффисын ихэнх тохиолдлыг хамарна. Өөр шошготой клиент горимоос ялгаатай нь жинхэнэ сервер горимтой чиглүүлэгч туннелийг зах дээр дуусгаж, хост тоог бага байлгадаг ч тэр firmware-ийн протоколын дэмжлэгт холбогддог. NAS эсвэл байнга асаалттай мини компьютер үйлдвэрлэгчийн сервер багцыг ажиллуулж, уншиж болох лог үлдээдэг. Жижиг үүлэн VM танд өөрөө хянадаг нийтийн хаяг өгч, хоёр дахь туннелээр гэрт хүрдэг. WireGuard дээр бүтээсэн mesh давхарга, эсвэл түншүүдийн хооронд дамжуулдаг удирдлагатай үйлчилгээ хоёр төгсгөлийг гадагш холбогдуулснаар орох портын дамжуулалтыг тойрдог.

Эдгээр сонголтын хоорондох хил ихэвчлэн програм биш, таны интернэт холболт юм. Хэрэв ISP таныг операторын түвшний NAT-ийн ард тавьбал чиглүүлэгч дээрх порт дамжуулалт хэчнээн ч байсан хүрч болох оролтын цэг үүсэхгүй бөгөөд реле эсвэл mesh зохион байгуулалт нь шударга хариулт юм. Чиглүүлэгчийн мэдээлдэг WAN хаягийг гадаад ертөнц хардаг хаягтай харьцуулна уу; хэрэв тэд ялгаатай бөгөөд чиглүүлэгчийн утга хувийн эсвэл хуваалцсан мужид байвал реле тохиолдолд төлөвлөөрэй.

Аль хост сонгосон ч муж биш нэг порт дээр нэг протокол дамжуулж, та ажиллуулж буй macOS хувилбарт тухайн бүтээгдэхүүн серверийн үүрэг бичиж өгөөгүй л бол Mac-ийг орох замаас гадуур байлгаарай.

Профайл тараахаас өмнө үүргийг баталгаажуулна уу

Нэр дэвшигч гарц дээр суулгагч нэгийг үүсгэсэн байх гэж итгэхийн оронд сонсогч байгааг нотлоорой. macOS дээр энэ нь дээрх портуудад шүүсэн sudo lsof -nP -iUDP, пакет шүүлтийн дүрэм дизайны хэсэг бол sudo pfctl -s nat гэсэн үг. Linux дээр ss -lunp ижил баримтуудыг хоёрдмол утгагүй харуулна.

Дараа нь сүлжээний гаднаас, протоколыг өөрөө ашиглан туршина уу. Ping бага нотолдог: ICMP ихэвчлэн шүүгддэг бөгөөд UDP 51820-ийн талаар юу ч хэлдэггүй. Нарийвчилсан логтой клиентийн гар барилт, гар утасны өгөгдөл дээрх утаснаас ажиллуулсан, хамгийн хямд бодит туршилт, учир нь алсын хамт олны дайрдаг замаар дайрдаг.

Зөвхөн үүний дараа л клиентийн профайлд хүрнэ. Mac дээр scutil --nc list системийн мэддэг VPN үйлчилгээнүүдийг хэвлэнэ; саяхан бүтээсэн гарц тэдгээрийн дунд байхгүй бол та туршсан машинаас өөр машиныг тохируулж байна. Гар барилт LAN дээр амжилттай болж гаднаас бүтэлгүйтвэл алдаа нь орох замд байна: NAT дүрэм, нийлүүлэгчийн CGNAT эсвэл гарц дээрх firewall, тэр дарааллаар.

Ямар нэг зүйл бүтээхээс өмнө дөрвөн зүйлийг шийдээрэй:

• Холболтыг аль тал эхлүүлэх, таны Mac эсвэл алсын төхөөрөмж.
• Хүлээн авах хост-ын OS хувилбар ба бүтээгдэхүүн серверийн үүргийг үнэхээр дэмждэг эсэх.
• ISP танд хүрч болох нийтийн хаяг өгдөг эсэх.
• Гарц ямар ганц порт, протокол хүлээж авах, түүний ард ямар үйлчилгээ хариу өгөх.

Дараагийн алхам тодорхой: гарцын хост сонгож, гаднаас сонсогчийг нь баталгаажуулж, дараа нь л Mac дээр түүнийг заасан клиентийн бичлэг үүсгээрэй.