Mac-VPN-innstillingane startar ikkje ein tenar: der gatewayen bur

To ulike jobbar ber namnet VPN i macOS, og innstillingspanelet handterer berre éin av dei. Vil du at trafikken frå denne Macen skal gå ut gjennom ein leverandør eller ein ekstern gateway, held det med ei klientoppføring. Vil du nå skrivaren, NAS-en eller ei administrasjonsside på heimenettet frå eit hotellrom, må noko på det nettet ta imot tilkoplingar utanfrå, og ein moderne Mac er ikkje det noko av seg sjølv. Tre spørsmål avgjer kva tilfelle du er i, og dei er verd å svare på før du skriv ei adresse i eit felt.

Ei klientoppføring namngir ein destinasjon, ikkje ein lyttar

I Systeminnstillingar > Nettverk > VPN på macOS Ventura og nyare skildrar felta som eldre versjonar held under Nettverksinnstillingar korleis du når endepunktet til andre: ei tenaradresse, ein ekstern ID, ein konto eller eit sertifikat, og valfrie reglar for tilkopling på førespurnad. Å lagre oppføringa lagrar ei tilkopling i nettverkskonfigurasjonen til Macen. Ingenting i prosessen bind ei port, opnar ein lyttar eller registrerer ein ekstern brukar.

Du kan sjekke dette frå skalet. På ein Mac du mistenkjer at tenar, køyr sudo lsof -nP -iUDP og sjå etter portane protokollen din brukar: 500 og 4500 for IKEv2, 1194 for standarden til OpenVPN, 51820 for WireGuard. Ein maskin som berre er klient viser sokklar kopla til ei ekstern adresse og port, ikkje ei jokerbinding som noko på internett kunne nå. Tunnelar som køyrer i ein Network Extension kan gøyme seg for lsof, så sjekk statuspanelet til appen uansett; det du ikkje finn er ei Apple-innstilling som gjer denne Macen til gatewayen.

Tre spørsmål skil dei to rollene

Gå gjennom dei i rekkefølgje. Det første avgjer vanlegvis resten, og det tredje er der mest Mac-spesifikk planlegging går gale.

1. Kven startar samtalen? Viss Macen din ringer ut og den andre sida svarar, treng du ein klient. Viss einingar på internett må ringje inn for å nå nettet ditt, treng du ein gateway med eit offentleg inngangspunkt, og Macen kan halde fram som klient av den gatewayen.

2. Kva må vere tilgjengeleg medan tunnelen er oppe? Éin teneste på éin vert er eit val om portvideresending. Eit heilt subnett, inkludert namneoppslag, er eit val om ruting og DNS, og det endrar kva gatewayen må sende vidare, ikkje kva klientoppføringa seier.

3. Kva OS-versjon køyrer den mottakande enden? For Macar har det spørsmålet eit hardt svar. Apple listar VPN som fjerna frå macOS Server 5.7.1, og sjølve macOS Server-appen vart avvikla 21. april 2022; varselet om tenestehistoria er sida du bør lese når ein gammal rettleiar fører deg gjennom ein avkryssingsboks for VPN-teneste som ikkje finst lenger.

Når det første svaret er «nokon utanfrå tek initiativet», slutt å leite etter ein brytar i klientpanelet på Macen og gå og vel verten som skal avslutte tunnelen.

Kor gatewayen kan bu i staden

Fire ordningar dekkjer dei fleste heime- og småkontortilfelle. Ein ruter med ekte tenarmodus, i motsetnad til ein klientmodus med ei anna etikett, avsluttar tunnelen ved kanten og held vertstalet lågt, men til prisen av å vere bunden til protokollstøtta til den fastvaren. Ein NAS eller ein alltid påslått mini-PC køyrer tenarpakken til leverandøren og gjev deg loggar du kan lese. Ein liten sky-VM gjev deg ei offentleg adresse du kontrollerer og når heim via ein andre tunnel. Eit mesh-overlegg bygd på WireGuard, eller ei administrert teneste som sender vidare mellom partar, omgår inngåande portvideresending ved å la begge endar ringje ut.

Grensa mellom desse alternativa er vanlegvis internettilkoplinga di, ikkje programvara. Viss ISP-en set deg bak carrier-grade NAT, gjev inga mengd portvideresending på ruteren eit nåbart inngangspunkt, og ei ordning med relay eller mesh er det ærlege svaret. Samanlikn WAN-adressa ruteren din rapporterer med adressa omverda ser; viss dei er ulike og verdien til ruteren ligg i eit privat eller delt område, planlegg for relay-tilfellet.

Kva vert du enn vel, send éin protokoll på éi port i staden for eit område, og hald Macen utanfor den inngåande vegen med mindre akkurat det produktet dokumenterer ei tenarroll for macOS-versjonen du køyrer.

Stadfest rolla før du deler ut profilar

På kandidat-gatewayen, prov at ein lyttar finst i staden for å stole på at installasjonen laga ein. På macOS tyder det sudo lsof -nP -iUDP filtrert til portane ovanfor, pluss sudo pfctl -s nat viss reglar for pakkefilter er ein del av designet. På Linux viser ss -lunp dei same fakta utan tvitydigheit.

Test deretter utanfrå nettet, med sjølve protokollen. Ping provar lite: ICMP vert ofte filtrert og seier ingenting om UDP 51820. Eit klienthandtrykk med detaljert logging, køyrt frå ein telefon på mobildata, er den billegaste ekte testen fordi det går same veg som ein ekstern kollega vil gå.

Først etter det rører du klientprofilane. På Macen skriv scutil --nc list ut VPN-tenestene systemet kjenner; viss gatewayen du nettopp bygde ikkje er blant dei, konfigurerer du ein annan maskin enn den du testa. Viss handtrykket lukkast på LAN-et men mislukkast utanfrå, ligg feilen i den inngåande vegen: NAT-regel, CGNAT-en til leverandøren eller ein brannmur på gatewayen, i den rekkjefølgja.

Før du byggjer noko, avgjer fire punkt:

• Kva side som tek initiativet til tilkoplinga, Macen din eller ei ekstern eining.
• Om OS-versjonen og produktet til den mottakande verten faktisk støttar ei tenarroll.
• Om ISP-en din i det heile gjev deg ei nåbar offentleg adresse.
• Kva éi port og protokoll gatewayen godtek, og kva teneste bak den som svarar.

Neste steg er konkret: vel gateway-verten, stadfest lyttaren hans utanfrå, og først då opprett klientoppføringa på Macen som peikar på den.