VPN instellen op de Mac: kies de client die bij uw profiel past

Stel de client in die uw VPN-operator noemt en bewijs de tunnel daarna met de privébron die u echt nodig hebt. Een Mac kan een native VPN-configuratie in Systeeminstellingen bewaren, maar een OpenVPN- of WireGuard-bestand vereist software die het formaat begrijpt, en dat zijn verschillende installatieroutes. Het type inloggegevens bepaalt hoe de aanmelding mislukt, dus lees het voordat u iets typt. Beoordeel het resultaat aan wat de privébron teruggeeft, niet aan het pictogram in de menubalk.

Stem de client af op het profiel dat u kreeg

Begin bij het bestand of de instructies die uw operator stuurde, niet bij een protocollijst op een downloadsite. Het native VPN-formulier in Systeeminstellingen behandelt bepaalde typen; een OpenVPN-profiel of een WireGuard-configuratie vereist een app die het parseert. Een beheerde Mac krijgt zijn verbinding mogelijk al van apparaatbeheer, en een tweede profiel erbovenop levert een conflict op in plaats van een configuratie. Kijk wat er al is voordat u iets installeert.

De aanmeldmethode komt uit het profiel en is meestal een van drie: een accountwachtwoord, een clientcertificaat of een wachtwoordzin die een privésleutel ontgrendelt. Een verkeerd wachtwoord en een geweigerd certificaat stoppen beide de verbinding, maar ze lezen niet hetzelfde, en slechts één ervan wordt genezen door een accountwachtwoord opnieuw in te stellen. Lees de weigering voordat u iets wijzigt: een verlopen of niet-vertrouwd certificaat faalt nog steeds na een wachtwoordreset, terwijl een slecht wachtwoord meteen faalt, bij de eerste poging.

Houd privémateriaal buiten gedeelde logboeken. Een sleutelwachtwoordzin, een clientcertificaat en de bijbehorende sleutel horen niet in een chatgesprek met een collega, en een schermafbeelding van de profieleditor onthult meestal meer dan de afzender verwacht. Als de operator een importeerbaar bestand levert, importeer het dan in plaats van waarden met de hand opnieuw te typen.

Bewijs dat het op de bron werkt, niet op het pictogram

Een werkprofiel routeert vaak alleen kantoortbestemmingen, zodat het openbare adres dat u tijdens het browsen ziet gelijk kan blijven terwijl de privéapplicatie werkt. Op een persoonlijk uitgangsprofiel moet het adres dat u van buitenaf ziet veranderen, en op een werkprofiel meestal niet. Meet dat verschil voordat u concludeert dat de tunnel stuk is.

Open daarna de bron die u echt nodig hebt: de bestandsshare, de beheerpagina, de databasehost. Dat een startpagina via de tunnel laadt, bewijst dat de tunnel wat verkeer draagt, niet dat hij het verkeer draagt dat u bedoelde. Als de browser nog het oorspronkelijke adres toont terwijl het profiel het zou moeten wijzigen, vergelijk dan drie dingen: de gebruikte app, de adresfamilie en het proxybeleid. Een browserproxy of een IPv6-pad kan verkeer om de VPN heen leiden terwijl de tunnel zelf gezond is.

Waar de client een routetabel toont, lees de standaardroute en de tunnelroute. Dat paar legt vast welk ontwerp u werkelijk hebt uitgerold.

Als het stopt met werken, vind de laag die brak

Een configuratie die eerder werkte, brak meestal omdat er iets bij het pad kwam: een tweede VPN-client, een beveiligingsagent, een inhoudsfilter, een nieuwe netwerkextensie. Gebruik de eigen diagnostiek van het product in plaats van voorkeuren te wissen of de netwerkstack te resetten, wat hoop is en geen diagnose. Koppel de fout aan een gebeurtenis — slaap, een Wi-Fi-wijziging, een portaal-login of een clientupdate — en noteer of die zich herhaalt. Een herhaalbare trigger hoort met het tijdstip in het ticket.

Namen falen anders dan routes. Een privéhost moet via zijn gedocumenteerde volledige naam worden bereikt, en korte kantoornamen hangen af van een interne resolver plus een zoekdomein dat alleen op het bedrijfspad bestaat. Vervang die resolver door een openbare DNS-dienst en de korte namen lossen helemaal niet meer op, wat op een kapotte tunnel lijkt maar het niet is.

scutil --dns
dscacheutil -q host -a name intranet.example.com

In de uitvoer van scutil --dns zoekt u de resolver waarvan het zoekdomein overeenkomt met uw bedrijfsdomein en leest u de nameserver waarnaar die wijst; de vermeldingen onder DNS-configuratie tonen welke resolver elke interface levert. Wanneer de bedrijfsresolver alleen voor een andere interface verschijnt, of de browser zijn eigen versleutelde DNS draait, lost één app de naam op terwijl al het andere faalt.

Verwijder een profiel dat u niet meer nodig hebt via het mechanisme dat het heeft geïnstalleerd, want het verwijderen van een lokale vermelding laat het account aan de serverkant leven en een verouderde client kan dezelfde routes nog opeisen. Op een beheerde Mac geldt het verwijderingsproces van de beheerder. Noteer de profielnaam, het serveradres en de werkende bron voordat u iets verwijdert, zodat herstel niet bij nul begint.