Konfiguracja VPN na Macu: wybierz klienta dopasowanego do profilu

Skonfiguruj klienta, którego wskazuje operator VPN, a następnie udowodnij tunel zasobem prywatnym, którego naprawdę potrzebujesz. Mac może przechowywać natywną konfigurację VPN w Ustawieniach systemowych, ale plik OpenVPN lub WireGuard wymaga oprogramowania rozumiejącego format, a to różne ścieżki konfiguracji. Typ danych logowania decyduje o tym, jak zawiedzie logowanie, więc przeczytaj go, zanim cokolwiek wpiszesz. Oceniaj wynik po tym, co zwraca zasób prywatny, a nie po ikonie w pasku menu.

Dopasuj klienta do otrzymanego profilu

Zacznij od pliku lub instrukcji wysłanych przez operatora, nie od listy protokołów w serwisie z plikami do pobrania. Natywny formularz VPN w Ustawieniach systemowych obsługuje określone typy; profil OpenVPN lub konfiguracja WireGuard wymaga aplikacji, która je analizuje. Zarządzany Mac może już otrzymywać połączenie z zarządzania urządzeniami, a dodanie drugiego profilu na wierzchu tworzy konflikt zamiast konfiguracji. Sprawdź, co już istnieje, zanim cokolwiek zainstalujesz.

Metoda logowania pochodzi z profilu i zwykle jest jedną z trzech: hasło konta, certyfikat klienta lub fraza hasłowa odblokowująca klucz prywatny. Błędne hasło i odrzucony certyfikat zatrzymują połączenie, ale czyta się je inaczej, i tylko jedno z nich leczy się przez zresetowanie hasła konta. Przeczytaj odrzucenie, zanim cokolwiek zmienisz: wygasły lub niezaufany certyfikat nadal zawodzi po resecie hasła, natomiast złe hasło zawodzi od razu, przy pierwszej próbie.

Trzymaj prywatne materiały poza współdzielonymi logami. Fraza hasłowa klucza, certyfikat klienta i jego klucz nie należą do wątku czatu ze współpracownikiem, a zrzut ekranu edytora profilu zwykle ujawnia więcej, niż oczekuje nadawca. Jeśli operator dostarcza plik do zaimportowania, zaimportuj go, zamiast wpisywać wartości ręcznie.

Udowodnij, że działa na zasobie, nie na ikonie

Profil służbowy często kieruje tylko do celów biurowych, więc publiczny adres widoczny podczas przeglądania może pozostać ten sam, gdy prywatna aplikacja działa. W profilu wyjścia osobistego adres widoczny z zewnątrz musi się zmienić, a w profilu służbowym zwykle nie. Zmierz tę różnicę, zanim uznasz, że tunel jest zepsuty.

Następnie otwórz zasób, którego naprawdę potrzebujesz: udział plików, stronę administracyjną, host bazy danych. Wczytanie strony głównej przez tunel dowodzi, że tunel przenosi jakiś ruch, a nie że przenosi ruch, który miałeś na myśli. Jeśli przeglądarka nadal pokazuje pierwotny adres, gdy profil powinien go zmienić, porównaj trzy rzeczy: używaną aplikację, rodzinę adresów i politykę proxy. Proxy przeglądarki lub ścieżka IPv6 mogą poprowadzić ruch wokół VPN, podczas gdy sam tunel jest zdrowy.

Tam, gdzie klient pokazuje tabelę routingu, odczytaj trasę domyślną i trasę tunelu. Ta para zapisuje, jaki projekt faktycznie wdrożyłeś.

Gdy przestaje działać, znajdź warstwę, która się zepsuła

Konfiguracja, która wcześniej działała, zwykle psuła się, bo coś dołączyło do ścieżki: drugi klient VPN, agent bezpieczeństwa, filtr treści, nowe rozszerzenie sieciowe. Użyj własnej diagnostyki produktu zamiast usuwania preferencji lub resetowania stosu sieciowego, co jest nadzieją, a nie diagnozą. Powiąż awarię ze zdarzeniem — uśpieniem, zmianą Wi-Fi, logowaniem do portalu lub aktualizacją klienta — i zanotuj, czy się powtarza. Powtarzalny wyzwalacz należy do zgłoszenia wraz z czasem wystąpienia.

Nazwy zawodzą inaczej niż trasy. Do hosta prywatnego trzeba dotrzeć jego udokumentowaną pełną nazwą, a krótkie nazwy biurowe zależą od wewnętrznego resolvera oraz domeny wyszukiwania, która istnieje tylko na ścieżce firmowej. Zastąp ten resolver publiczną usługą DNS, a krótkie nazwy całkowicie przestaną się rozwiązywać, co wygląda na zepsuty tunel, ale nim nie jest.

scutil --dns
dscacheutil -q host -a name intranet.example.com

W wyniku scutil --dns znajdź resolver, którego domena wyszukiwania odpowiada twojej domenie firmowej, i odczytaj serwer nazw, na który wskazuje; wpisy wymienione w konfiguracji DNS pokazują, który resolver dostarcza każdy interfejs. Gdy resolver firmowy pojawia się tylko dla innego interfejsu albo przeglądarka prowadzi własny szyfrowany DNS, jedna aplikacja rozwiązuje nazwę, a wszystko inne zawodzi.

Usuń profil, którego już nie potrzebujesz, mechanizmem, który go zainstalował, bo usunięcie lokalnego wpisu pozostawia konto po stronie serwera żywe, a nieaktualny klient nadal może żądać tych samych tras. Na zarządzanym Macu liczy się procedura usuwania administratora. Zapisz nazwę profilu, adres serwera i działający zasób, zanim cokolwiek usuniesz, aby odzyskiwanie nie zaczynało się od zera.