Cara Memilih Mac VPN Klien untuk Gerbang yang Anda Sudah Ada

Enam apl Mac VPN dipaparkan pada halaman muat turun dan tiada satu pun daripadanya menyatakan yang mana satu gerbang masuk majikan anda akan terima. Itu bukan jurang dalam kedai; ia adalah jurang dalam penyerahan. SSL VPN ialah keluarga produk, bukan protokol, jadi dua get laluan dengan skrin log masuk yang sama boleh memerlukan klien yang berbeza. Berikut ialah pesanan yang saya gunakan apabila seseorang menyerahkan Mac dan alamat pelayan kepada saya: tentukan perkara yang dituturkan oleh get laluan, pilih klien yang sepadan dengannya, kemudian sahkan laluan dan DNS sebelum anda mempercayai terowong dengan kerja.

Mulakan dengan pintu masuk, bukan gedung aplikasi

Apl ini berjalan pada Mac anda, tetapi sesuatu yang lain perlu menerima sambungan dan memberikan akses: pintu masuk dengan pengendali, alamat, tetapan yang serasi dan cara untuk membenarkan anda. Klien percuma boleh menjadi perisian yang baik dan masih tidak membekalkan perkara itu. Akses kerja, pintu masuk rumah dan jalan keluar internet komersial ialah tiga titik permulaan berbeza yang berlaku untuk berkongsi halaman muat turun.

Sebelum memasang atau menggantikan apa-apa, dapatkan empat jawapan daripada sesiapa yang menjalankan perkhidmatan:

• Mod akses: portal penyemak imbas, akses aplikasi terpilih atau terowong rangkaian penuh. Ini memutuskan sama ada anda memerlukan klien sama sekali.

• Keluarga Gateway dan keluaran yang disokong: produk, perkhidmatan yang didayakan dan versi klien yang masih menyokong binaan macOS dan perkakasan Mac anda.

• Pengesahan: kata laluan tambah MFA, log masuk penyemak imbas, sijil peranti atau semakan postur. Klien yang tidak mempunyai aliran yang diluluskan akan menyambung dan kemudian ditolak.

• Pemilikan: sumber muat turun atau pengurusan yang dipercayai, profil yang dimaksudkan dan siapa yang menyokongnya apabila ia rosak.

Pemilikan ialah perkara yang orang langkau. Pada Mac terurus, profil selalunya tiba melalui sistem pengurusan organisasi, dan konfigurasi binaan tangan boleh digantikan pada daftar masuk seterusnya. Tanya sama ada anda dijangka memasang apa-apa sendiri sebelum anda mencari apl pihak ketiga.

SSL VPN ialah label keluarga, bukan protokol

TLS boleh melindungi sambungan manakala pertukaran khusus produk di dalamnya mengendalikan log masuk, peruntukan sesi dan trafik terowong. Pertukaran dalaman itulah yang perlu dilaksanakan oleh klien. Penyemak imbas yang mencapai pintu masuk HTTPS halaman log masuk membuktikan rantaian sijil dan pelayan web; ia tidak membuktikan bahawa aplikasi VPN yang tidak berkaitan boleh membina terowong ke mesin yang sama.

OpenConnect ialah ilustrasi paling jelas yang saya tahu. Ianya dokumentasi huluan menyenaraikan mod protokol yang berasingan untuk keluarga gerbang yang berbeza dan memisahkan kesalingoperasian daripada sokongan vendor rasmi. Jika setiap SSL VPN bercakap satu protokol, mod tersebut tidak diperlukan.

Profil OpenVPN mempunyai had yang sama sebaliknya: ia ialah format import untuk penggunaan serasi OpenVPN. Berkongsi TLS sebagai blok binaan tidak mengubahnya menjadi fail konfigurasi untuk gerbang perusahaan sewenang-wenangnya. Itulah sebabnya log masuk penyemak imbas yang berfungsi adalah positif palsu: akses portal boleh berjaya semasa tiada terowong wujud, dan terowong yang muncul masih boleh ditolak oleh pemeriksaan postur kemudian.

Padankan klien dengan perkara yang dituturkan oleh gateway

Apabila keluarga dikenali, pilihan semakin sempit. Ini ialah pemetaan yang saya semak dahulu, dan lajur terakhir lebih penting daripada mana-mana rating apl.

Dua baris patut diberi amaran. Klien macOS terbina dalam ialah pelaksanaan IKEv2 sebenar, bukan klien SSL VPN generik: perkhidmatan yang direka untuknya memerlukan profil yang betul, identiti pelayan yang diharapkan dan bukti kelayakan, dan pada mesin terurus profil itu mungkin dikunci. OpenConnect meliputi beberapa protokol vendor daripada satu binari, tetapi projeknya sendiri tidak menuntut sokongan vendor; pengimbasan hos, peraturan terowong berpecah yang ditolak gerbang atau aliran SSO tertentu mungkin wujud hanya dalam klien vendor.

WireGuard mempunyai bentuk yang sama. Perkhidmatan membekalkan rakan sebaya, klien membekalkan terowong dan profil OpenVPN bukan pengganti. Satu macOS kedutan: klien App Store menyimpan terowongnya di dalam a Network Extension, jadi wg show daripada alat Homebrew tidak boleh melaporkan apa-apa semasa antara muka di atas. Sahkan dengan laluan dan lalu lintas sebaliknya.

Konfigurasikan, kemudian sahkan dalam susunan tetap

Pasang satu klien dan satu profil, dan simpan nota tentang perkara yang anda ubah. Sebelum menyambung, tangkap garis dasar supaya anda boleh mengetahui perkara yang diubah oleh terowong:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Sambung dengan profil yang dibekalkan dan ulangi arahan yang sama. Untuk terowong penuh, laluan lalai harus menghala pada antara muka utun; dengan terowong berpecah hanya awalan dalaman harus dihalakan dan pintu keluar awam anda sepatutnya kelihatan tidak berubah. DNS ialah separuh yang biasanya kekal rosak: scutil --dns menyenaraikan penyelesai mengikut susunan sistem akan menggunakannya dan penyelesai dalaman yang duduk di bawah nama awam akan menghantar nama dalaman ke pelayan yang salah.

Untuk perkhidmatan OpenVPN, Tunnelblick ialah klien tanpa kos yang munasabah, dan panduannya sendiri adalah terus mengenai separuh yang hilang: ia tidak membekalkan perkhidmatan VPN. Klik dua kali .ovpn yang diberikan kepada anda, biarkan Tunnelblick memasangnya dan semak keluaran terhadap versi macOS anda sebelum anda bergantung padanya.

Untuk gerbang vendor saya sering menguji dengan OpenConnect daripada baris arahan:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Alat ini mencetak sijil yang diterima dan menunggu sebelum mempercayai rantai yang tidak diketahui; gesaan itu adalah ciri, dan menyemat dengan --servercert pin-sha256:... adalah lebih baik daripada menerima amaran yang anda tidak baca. Ctrl-C meruntuhkan terowong, kerana sambungan terbuka latar depan tidak mempunyai suis bunuh dan tiada logik penyambungan semula. Itu bagus untuk sesi diagnostik dan lalai yang lemah untuk kerja harian.

Apabila tiada gerbang untuk dipadankan

Sesetengah orang tiba dengan masalah sebaliknya: tiada pengendali, tiada alamat, tiada perkhidmatan. Apl Mac percuma tidak boleh mencipta kebolehcapaian masuk pada penghala rumah. Jika anda mahukan rangkaian anda sendiri daripada hotel, seseorang perlu menjalankan pintu masuk di rumah, memastikannya ditambal, menerbitkan atau menyelesaikan alamatnya dan memutuskan peranti yang boleh dicapai.

Jika anda mahukan jalan keluar internet yang berbeza dan bukannya akses kepada rangkaian peribadi, pilih perkhidmatan sebelum klien. Senarai profil kosong dalam klien kendiri selalunya bukan langganan percuma yang rosak; mungkin tiada langganan dan tiada pelayan dilampirkan. Asingkan kos juga: lesen klien, pelan perkhidmatan dan pintu masuk kendalian sendiri ialah tiga pembelian berbeza.

Mac kerja menambah lapisan dasar. Apl tanpa caj boleh menjadi salah walaupun ia bersambung, kerana klien yang diluluskan mungkin menguatkuasakan semakan peranti atau aliran pengesahan yang tiada alternatif. Minta alternatif yang diluluskan dan bukannya menyalin bukti kelayakan antara apl yang tidak berkaitan dan jangan anggap melumpuhkan perlindungan platform sebagai pembetulan keserasian.

Pemapar desktop jauh adalah produk yang berbeza juga. Ia menunjukkan kepada anda sesi pada komputer lain; ia tidak memberikan aplikasi tempatan Mac anda laluan rangkaian yang disediakan oleh terowong.

Senarai semak pendek sebelum sesi sebenar pertama

Namakan keluarga get laluan dan mod akses secara bertulis, pasang hanya klien yang sepadan dengannya dan rekod profil yang anda gunakan. Kemudian sahkan tiga perkara dengan trafik sebenar: laluan terowong yang dipasang, susunan penyelesai dan satu aplikasi dalaman yang dicapai dengan nama dan bukannya melalui IP.

Jika sesuatu gagal, tukar satu pembolehubah pada satu masa: klien, profil, aliran pengesahan. Portal yang dimuatkan semasa terowong enggan dimulakan memisahkan masalah pelayan web daripada masalah keserasian klien. Setelah perkhidmatan kerja menjawab dan laluan awam berkelakuan seperti yang diharapkan, anda mempunyai susunan bernama yang disokong dan bukannya timbunan tekaan.