तपाइँसँग पहिले नै रहेको गेटवेको लागि म्याक VPN ग्राहक कसरी छान्ने
SSL VPN एउटा उत्पादन परिवार हो, एउटा प्रोटोकल होइन। ग्राहक, प्रोफाइल र साइन-इन विधिको लागि गेटवे मालिकलाई सोध्नुहोस्, त्यसपछि म्याकमा मार्गहरू र DNS प्रमाणित गर्नुहोस्।
छ म्याक VPN एपहरू डाउनलोड पृष्ठमा देखा पर्छन् र ती मध्ये कुनै पनि तपाइँको नियोक्ता गेटवेले स्वीकार गर्नेछन् भन्ने छैन। त्यो पसल मा एक खाली छैन; यो handoff मा एक अंतर छ। एक SSL VPN एउटा उत्पादन परिवार हो, प्रोटोकल होइन, त्यसैले समान लगइन स्क्रिनहरू भएका दुई गेटवेहरूलाई फरक-फरक ग्राहकहरूको आवश्यकता पर्न सक्छ। कसैले मलाई म्याक र सर्भर ठेगाना दिँदा मैले प्रयोग गर्ने अर्डर यहाँ छ: गेटवेले के बोल्छ स्थापना गर्नुहोस्, त्यससँग मेल खाने ग्राहक छान्नुहोस्, त्यसपछि रुटहरू प्रमाणित गर्नुहोस् र DNS तपाईंले कामको साथ सुरुङमा विश्वास गर्नु अघि।
गेटवेबाट सुरु गर्नुहोस्, एप स्टोरबाट होइन
एप तपाईंको म्याकमा चल्छ, तर अरू केहीले जडान स्वीकार गर्नुपर्छ र पहुँच प्रदान गर्नुपर्छ: अपरेटरको साथ एउटा गेटवे, ठेगाना, मिल्दो सेटिङहरू र तपाईंलाई अधिकार दिने तरिका। एक नि: शुल्क ग्राहक राम्रो सफ्टवेयर हुन सक्छ र अझै पनि ती चीजहरू मध्ये कुनै पनि आपूर्ति गर्न सक्छ। काम पहुँच, एक घर गेटवे र एक व्यापारिक इन्टरनेट निकास डाउनलोड पृष्ठ साझा गर्न को लागी तीन फरक सुरूवात बिन्दुहरू छन्।
कुनै पनि कुरा स्थापना वा प्रतिस्थापन गर्नु अघि, सेवा चलाउने व्यक्तिबाट चार जवाफहरू प्राप्त गर्नुहोस्:
पहुँच मोड: ब्राउजर पोर्टल, चयन गरिएको अनुप्रयोग पहुँच वा पूर्ण नेटवर्क सुरुङ। यसले निर्णय गर्छ कि तपाईलाई ग्राहक चाहिन्छ कि छैन।
गेटवे परिवार र समर्थित रिलीज: उत्पादन, सक्षम सेवा र ग्राहक संस्करण जसले अझै पनि तपाईंको macOS निर्माण र म्याक हार्डवेयरलाई समर्थन गर्दछ।
प्रमाणीकरण: पासवर्ड प्लस MFA, ब्राउजर साइन-इन, उपकरण प्रमाणपत्र वा मुद्रा जाँच। अनुमोदित प्रवाहको अभाव भएको ग्राहक जडान हुनेछ र त्यसपछि अस्वीकार गरिनेछ।
स्वामित्व: विश्वसनीय डाउनलोड वा व्यवस्थापन स्रोत, अभिप्रेत प्रोफाइल र कसले यसलाई ब्रेक गर्दा समर्थन गर्दछ।
स्वामित्व भनेको मानिसहरूले छोड्ने वस्तु हो। व्यवस्थित म्याकमा प्रोफाइल प्राय: संगठन व्यवस्थापन प्रणाली मार्फत आउँछ, र हातले निर्मित कन्फिगरेसन अर्को चेक-इनमा प्रतिस्थापन गर्न सकिन्छ। तपाइँ तेस्रो-पक्ष एप खोज्नु अघि तपाइँ आफैंले केहि पनि स्थापना गर्ने अपेक्षा गरिएको छ कि भनेर सोध्नुहोस्।
SSL VPN एउटा पारिवारिक लेबल हो, प्रोटोकल होइन
TLS ले जडानलाई सुरक्षित गर्न सक्छ जबकि यसको भित्र उत्पादन-विशिष्ट एक्सचेन्जले लगइन, सत्र आवंटन र टनेल ट्राफिक ह्यान्डल गर्दछ। त्यो भित्री विनिमय भनेको ग्राहकले कार्यान्वयन गर्नु पर्छ। गेटवे HTTPS लगइन पृष्ठमा पुग्ने ब्राउजरले प्रमाणपत्र चेन र वेब सर्भर प्रमाणित गर्छ; यसले प्रमाणित गर्दैन कि असम्बन्धित VPN एपले एउटै मेसिनमा सुरुङ निर्माण गर्न सक्छ।
OpenConnect मलाई थाहा भएको स्पष्ट दृष्टान्त हो। यसको अपस्ट्रीम दस्तावेज विभिन्न गेटवे परिवारहरूको लागि अलग-अलग प्रोटोकल मोडहरू सूचीबद्ध गर्दछ र आधिकारिक विक्रेता समर्थनबाट अन्तरक्रियात्मकतालाई अलग गर्दछ। यदि प्रत्येक SSL VPN ले एउटा प्रोटोकल बोल्यो भने, ती मोडहरू अनावश्यक हुनेछन्।
एक OpenVPN प्रोफाइलमा अर्को तरिकामा समान सीमा छ: यो OpenVPN-कम्प्याटिबल डिप्लोइमेन्टको लागि आयात ढाँचा हो। TLS बिल्डिंग ब्लकको रूपमा साझेदारी गर्नाले यसलाई स्वेच्छाचारी इन्टरप्राइज गेटवेको लागि कन्फिगरेसन फाइलमा परिणत गर्दैन। यसैले काम गर्ने ब्राउजर लगइन गलत सकारात्मक हो: कुनै सुरुङ अवस्थित नभएको बेला पोर्टल पहुँच सफल हुन सक्छ, र एउटा सुरुङ जुन आउँदैछ त्यसलाई पछि आसन जाँचद्वारा अस्वीकार गर्न सकिन्छ।
गेटवेले बोलेको कुरासँग ग्राहकलाई मिलाउनुहोस्
एक पटक परिवार थाहा भएपछि, छनोट चाँडै संकुचित हुन्छ। यो म्यापिङ हो जुन मैले पहिले जाँच गर्छु, र अन्तिम स्तम्भ कुनै पनि एप मूल्याङ्कन भन्दा बढी महत्त्वपूर्ण छ।
| गेटवे परिवार | macOS मा ग्राहक | के हेर्ने |
|---|---|---|
| IKEv2/IPsec, विक्रेता तटस्थ | .mobileconfig प्रोफाइलको साथमा निर्मित macOS ग्राहक | सर्भर पहिचान, र एक प्रोफाइल जो व्यवस्थित हुन सक्छ |
| OpenVPN 2.x | Tunnelblick वा openvpn आदेश रेखा | .ovpn थप प्रमाणहरू; ग्राहकले कुनै सेवा प्रदान गर्दैन |
| WireGuard | आधिकारिक WireGuard ग्राहक वा wireguard-tools | सहकर्मी कन्फिगरेसन; wg show दृश्यता ग्राहक द्वारा फरक छ |
| विक्रेता SSL VPN (AnyConnect, Pulse, GlobalProtect, F5, Fortinet) | विक्रेता ग्राहक, वा OpenConnect स्पष्ट --प्रोटोकलको साथ | असमर्थित संयोजनहरू, MFA र मुद्रा जाँचहरू |
| ब्राउजर पोर्टल मात्र | ग्राहक छैन | अनुप्रयोग पहुँच नेटवर्क टनेल होइन |
दुई पङ्क्तिहरू चेतावनीको योग्य छन्। बिल्ट-इन macOS ग्राहक वास्तविक IKEv2 कार्यान्वयन हो, सामान्य SSL VPN ग्राहक होइन: यसको लागि डिजाइन गरिएको सेवालाई सही प्रोफाइल, अपेक्षित सर्भर पहिचान र प्रमाणहरू आवश्यक पर्दछ, र व्यवस्थित मेसिनमा त्यो प्रोफाइल लक डाउन हुन सक्छ। OpenConnect एक बाइनरीबाट धेरै विक्रेता प्रोटोकलहरू कभर गर्दछ, तर यसको आफ्नै परियोजनाले विक्रेता समर्थन दावी गर्दैन; होस्ट स्क्यानिङ, गेटवे-पुश स्प्लिट-टनेल नियमहरू वा विशेष SSO प्रवाह विक्रेता ग्राहकमा मात्र अवस्थित हुन सक्छ।
WireGuard एउटै आकार छ। सेवाले साथीहरू आपूर्ति गर्दछ, ग्राहकले सुरुङ आपूर्ति गर्दछ, र OpenVPN प्रोफाइल कुनै विकल्प होइन। एउटा macOS रिंकल: App Store ग्राहकले आफ्नो सुरुङ भित्र राख्छ एक Network Extension, त्यसैले Homebrew उपकरणहरूबाट wg show इन्टरफेस माथि हुँदा केही पनि रिपोर्ट गर्न सक्दैन। यसको सट्टा मार्ग र ट्राफिकको साथ प्रमाणित गर्नुहोस्।
कन्फिगर गर्नुहोस्, त्यसपछि निश्चित क्रममा प्रमाणित गर्नुहोस्
एउटा क्लाइन्ट र एउटा प्रोफाइल स्थापना गर्नुहोस्, र तपाईंले परिवर्तन गर्नुभएको कुराको नोट राख्नुहोस्। जडान गर्नु अघि, एउटा आधार रेखा खिच्नुहोस् ताकि तपाईंले सुरुङले के परिवर्तन गर्छ भन्न सक्नुहुन्छ:
scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dnsप्रदान गरिएको प्रोफाइलसँग जडान गर्नुहोस् र उही आदेशहरू दोहोर्याउनुहोस्। पूर्ण टनेलको लागि पूर्वनिर्धारित मार्गले utun इन्टरफेसमा पोइन्ट गर्नुपर्छ; स्प्लिट टनेलिङको साथमा आन्तरिक उपसर्गहरू मात्र रुट गरिनुपर्छ र तपाईंको सार्वजनिक निकास अपरिवर्तित देखिनुपर्छ। DNS आधा हो जुन सामान्यतया टुटेको हुन्छ: scutil --dns ले रिजोल्भरहरूलाई प्रणालीले प्रयोग गर्ने क्रममा सूचीबद्ध गर्दछ, र सार्वजनिक तल बसेको आन्तरिक रिजोल्भरले गलत सर्भरमा आन्तरिक नामहरू पठाउनेछ।
OpenVPN सेवाको लागि, Tunnelblick एक उचित बिना लागत ग्राहक हो, र यसको आफ्नै गाइड हराइरहेको आधाको बारेमा प्रत्यक्ष छ: यसले VPN सेवा प्रदान गर्दैन। तपाईंलाई दिइएको .ovpn मा डबल-क्लिक गर्नुहोस्, Tunnelblick यसलाई स्थापना गर्न दिनुहोस्, र तपाइँ यसमा भरोसा गर्नु अघि तपाइँको macOS संस्करण विरुद्ध रिलीज जाँच गर्नुहोस्।
एक विक्रेता गेटवे को लागी म प्राय: OpenConnect आदेश रेखाबाट परीक्षण गर्छु:
brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.comउपकरणले प्राप्त गरेको प्रमाणपत्र प्रिन्ट गर्छ र अज्ञात चेनलाई विश्वास गर्नु अघि पर्खन्छ; त्यो प्रम्प्ट एक सुविधा हो, र --servercert pin-sha256:... सँग पिन गर्नु भनेको तपाईंले नपढ्नु भएको चेतावनी स्वीकार गर्नु भन्दा राम्रो हो। Ctrl-C सुरुङलाई तल झार्छ, किनकि अग्रभूमि ओपन कनेक्टमा कुनै मार्ने स्विच र पुन: जडान तर्क छैन। त्यो निदान सत्रको लागि ठीक छ र दैनिक कामको लागि खराब पूर्वनिर्धारित।
जब मेल खाने गेटवे छैन
केही व्यक्तिहरू उल्टो समस्या लिएर आइपुग्छन्: कुनै अपरेटर छैन, ठेगाना छैन, सेवा छैन। नि: शुल्क म्याक एपले घरको राउटरमा इनबाउन्ड पहुँच योग्यता सिर्जना गर्न सक्दैन। यदि तपाइँ होटेलबाट तपाइँको आफ्नै नेटवर्क चाहनुहुन्छ भने, कसैले घरमा गेटवे चलाउनु पर्छ, यसलाई प्याच गर्नु पर्छ, यसको ठेगाना प्रकाशित गर्नुहोस् वा समाधान गर्नुहोस् र कुन उपकरणहरू पहुँचयोग्य छन् भनेर निर्णय गर्नुहोस्।
यदि तपाइँ निजी नेटवर्कमा पहुँच गर्नुको सट्टा फरक इन्टरनेट निकास चाहनुहुन्छ भने, ग्राहक अघि सेवा छान्नुहोस्। स्ट्यान्डअलोन क्लाइन्टमा खाली प्रोफाइल सूची प्रायः टुटेको नि: शुल्क सदस्यता होइन; त्यहाँ कुनै सदस्यता र कुनै सर्भर संलग्न नहुन सक्छ। लागतहरू पनि अलग राख्नुहोस्: एक ग्राहक लाइसेन्स, एक सेवा योजना र एक स्व-संचालित गेटवे तीन फरक खरिदहरू हुन्।
कार्य म्याकले नीति तह थप्छ। कुनै शुल्क नलाग्ने एप जडान हुँदा पनि गलत हुन सक्छ, किनभने अनुमोदित क्लाइन्टले यन्त्र जाँचहरू लागू गर्न सक्छ वा वैकल्पिक अभावमा प्रमाणीकरण प्रवाह गर्न सक्छ। असम्बन्धित एपहरू बीचको प्रमाणहरू प्रतिलिपि गर्नुको सट्टा स्वीकृत विकल्पको लागि सोध्नुहोस्, र प्लेटफर्म सुरक्षा असक्षम गर्नेलाई अनुकूलता समाधानको रूपमा व्यवहार नगर्नुहोस्।
रिमोट-डेस्कटप दर्शक पनि फरक उत्पादन हो। यसले तपाईंलाई अर्को कम्प्युटरमा सत्र देखाउँछ; यसले तपाइँको Mac स्थानीय अनुप्रयोगहरूलाई टनेलले प्रदान गर्ने नेटवर्क मार्ग दिँदैन।
पहिलो वास्तविक सत्र अघि छोटो चेकलिस्ट
गेटवे परिवार र पहुँच मोडलाई लिखित रूपमा नाम दिनुहोस्, तिनीहरूसँग मेल खाने ग्राहक मात्र स्थापना गर्नुहोस्, र तपाईंले प्रयोग गर्नुभएको प्रोफाइल रेकर्ड गर्नुहोस्। त्यसपछि वास्तविक ट्राफिकको साथ तीन चीजहरू पुष्टि गर्नुहोस्: टनेल स्थापना गरिएको मार्गहरू, रिजोल्भर अर्डर, र IP द्वारा सट्टा नामद्वारा पहुँच गरिएको एउटा आन्तरिक अनुप्रयोग।
यदि केहि असफल भयो भने, एक पटकमा एउटा चर परिवर्तन गर्नुहोस्: ग्राहक, प्रोफाइल, प्रमाण प्रवाह। सुरुङ सुरु गर्न अस्वीकार गर्दा लोड हुने पोर्टलले वेब-सर्भर समस्यालाई क्लाइन्ट-कम्प्याटिबिलिटीबाट अलग गर्छ। कार्य सेवाले जवाफ दिएपछि र सार्वजनिक मार्गले अपेक्षित रूपमा व्यवहार गरेपछि, तपाईंसँग अनुमानको थुप्रोको सट्टा नाम, समर्थित व्यवस्था हुन्छ।