Configurar uma VPN no Mac: escolha o cliente adequado ao seu perfil

Configure o cliente que o seu operador de VPN indica e, em seguida, comprove o túnel com o recurso privado de que realmente precisa. Um Mac pode guardar uma configuração VPN nativa em Definições do Sistema, mas um ficheiro OpenVPN ou WireGuard exige software que compreenda o formato, e são percursos de configuração diferentes. O tipo de credencial decide como a autenticação falhará, por isso leia-o antes de escrever seja o que for. Avalie o resultado pelo que o recurso privado devolve, não pelo ícone na barra de menus.

Faça corresponder o cliente ao perfil que recebeu

Comece pelo ficheiro ou pelas instruções que o operador enviou, não por uma lista de protocolos num site de transferências. O formulário VPN nativo das Definições do Sistema trata de determinados tipos; um perfil OpenVPN ou uma configuração WireGuard precisa de uma aplicação que os analise. Um Mac gerido pode já receber a ligação da gestão de dispositivos, e acrescentar um segundo perfil por cima gera um conflito em vez de uma configuração. Veja o que já existe antes de instalar o que quer que seja.

O método de autenticação vem do perfil e costuma ser um de três: uma palavra-passe de conta, um certificado de cliente ou uma frase-passe que desbloqueia uma chave privada. Uma palavra-passe errada e um certificado rejeitado param ambos a ligação, mas não se leem da mesma forma, e só um dos dois se resolve ao repor a palavra-passe da conta. Leia a rejeição antes de alterar o que quer que seja: um certificado expirado ou não fidedigno continua a falhar depois de repor a palavra-passe, ao passo que uma palavra-passe errada falha de imediato, à primeira tentativa.

Mantenha o material privado fora dos registos partilhados. A frase-passe de uma chave, um certificado de cliente e a respetiva chave não pertencem a uma conversa com um colega, e uma captura de ecrã do editor de perfis revela normalmente mais do que o remetente espera. Se o operador fornecer um ficheiro importável, importe-o em vez de reescrever os valores à mão.

Comprove que funciona no recurso, não no ícone

Um perfil de trabalho encaminha muitas vezes apenas destinos de escritório, pelo que o endereço público que vê ao navegar pode manter-se igual enquanto a aplicação privada funciona. Num perfil de saída pessoal, o endereço visto do exterior tem de mudar, e num perfil de trabalho normalmente não. Meça essa diferença antes de concluir que o túnel está avariado.

Depois abra o recurso de que realmente precisa: a partilha de ficheiros, a página de administração, o anfitrião da base de dados. Uma página inicial que carrega pelo túnel prova que o túnel transporta algum tráfego, não que transporta o tráfego que pretendia. Se o navegador continuar a mostrar o endereço original quando o perfil o devia alterar, compare três coisas: a aplicação em uso, a família de endereços e a política de proxy. Um proxy do navegador ou um caminho IPv6 podem desviar o tráfego para fora da VPN enquanto o túnel está saudável.

Onde o cliente expõe uma tabela de encaminhamento, leia a rota predefinida e a rota do túnel. Esse par registra o desenho que realmente implementou.

Quando deixa de funcionar, encontre a camada que se rompeu

Uma configuração que funcionava antes costuma romper-se porque algo se juntou ao caminho: um segundo cliente VPN, um agente de segurança, um filtro de conteúdo, uma nova extensão de rede. Use os diagnósticos do próprio produto em vez de apagar preferências ou repor a pilha de rede, o que é uma esperança e não um diagnóstico. Relacione a falha com um evento — suspensão, uma mudança de Wi-Fi, um início de sessão no portal ou uma atualização do cliente — e anote se se repete. Um gatilho repetível pertence ao ticket com a hora em que ocorreu.

Os nomes falham de forma diferente das rotas. A um anfitrião privado chega-se pelo nome completo documentado, e os nomes curtos de escritório dependem de um resolvedor interno mais um domínio de pesquisa que só existe no caminho da empresa. Troque esse resolvedor por um serviço DNS público e os nomes curtos deixam de resolver por completo, o que parece um túnel avariado mas não é.

scutil --dns
dscacheutil -q host -a name intranet.example.com

Na saída de scutil --dns, encontre o resolvedor cujo domínio de pesquisa corresponde ao domínio da empresa e leia o servidor de nomes para onde aponta; as entradas listadas em configuração de DNS mostram que resolvedor cada interface fornece. Quando o resolvedor da empresa só aparece para outra interface, ou o navegador executa o seu próprio DNS cifrado, uma aplicação resolve o nome enquanto tudo o resto falha.

Remova um perfil de que já não precisa pelo mecanismo que o instalou, porque apagar uma entrada local deixa a conta do lado do servidor viva e um cliente desatualizado ainda pode reclamar as mesmas rotas. Num Mac gerido, conta o processo de remoção do administrador. Anote o nome do perfil, o endereço do servidor e o recurso que funciona antes de remover seja o que for, para que a recuperação não comece do zero.