Cum să alegeți un client Mac VPN pentru Gateway-ul pe care îl aveți deja

Pe o pagină de descărcare apar șase aplicații Mac VPN și niciuna dintre ele nu spune pe care o va accepta gateway-ul angajatorului. Acesta nu este un gol în magazin; este un gol în transfer. Un SSL VPN este o familie de produse, nu un protocol, astfel încât două gateway-uri cu ecrane de conectare identice pot necesita clienți diferiți. Iată ordinea pe care o folosesc atunci când cineva îmi dă un Mac și o adresă de server: stabiliți ce vorbește gateway-ul, alegeți clientul care se potrivește cu el, apoi verificați rutele și DNS înainte de a avea încredere în tunel cu lucrul.

Începeți cu gateway-ul, nu cu magazinul de aplicații

Aplicația rulează pe Mac, dar altceva trebuie să accepte conexiunea și să acorde acces: un gateway cu un operator, o adresă, setări compatibile și o modalitate de a te autoriza. Un client gratuit poate fi un software bun și totuși să nu furnizeze niciunul dintre aceste lucruri. Accesul la serviciu, un gateway de acasă și o ieșire comercială de internet sunt trei puncte de plecare diferite care se întâmplă să partajeze o pagină de descărcare.

Înainte de a instala sau a înlocui orice, obțineți patru răspunsuri de la oricine conduce serviciul:

• Mod de acces: portal de browser, acces la aplicație selectată sau un tunel de rețea complet. Aceasta decide dacă aveți nevoie de un client.

• Familia Gateway și versiunea acceptată: produsul, serviciul activat și o versiune client care acceptă în continuare construcția dvs. macOS și hardware-ul Mac.

• Autentificare: parola plus MFA, conectarea la browser, certificatul dispozitivului sau verificarea posturii. Un client care nu are fluxul aprobat se va conecta și apoi va fi respins.

• Proprietate: sursa de descărcare de încredere sau de gestionare, profilul dorit și cine îl acceptă atunci când se întrerupe.

Proprietatea este elementul pe care oamenii îl omite. Pe un Mac gestionat, profilul ajunge adesea prin sistemul de management al organizației, iar o configurație construită manual poate fi înlocuită la următoarea înregistrare. Întrebați dacă trebuie să instalați ceva singur înainte de a căuta o aplicație terță parte.

SSL VPN este o etichetă de familie, nu un protocol

TLS poate proteja o conexiune în timp ce un schimb specific de produs în interiorul său se ocupă de autentificare, alocarea sesiunii și traficul tunelului. Acel schimb interior este ceea ce trebuie să implementeze un client. Un browser care ajunge la pagina de conectare HTTPS demonstrează lanțul de certificate și serverul web; nu demonstrează că o aplicație VPN fără legătură poate construi un tunel către aceeași mașină.

OpenConnect este cea mai clară ilustrație pe care o cunosc. Sale documentație în amonte listează moduri separate de protocol pentru diferite familii de gateway și separă interoperabilitatea de suportul oficial al furnizorului. Dacă fiecare SSL VPN ar vorbi un singur protocol, acele moduri ar fi inutile.

Un profil OpenVPN are aceeași limitare și invers: este un format de import pentru o implementare compatibilă cu OpenVPN. Partajarea TLS ca bloc de construcție nu îl transformă într-un fișier de configurare pentru un gateway de întreprindere arbitrar. Acesta este motivul pentru care o autentificare funcțională în browser este un fals pozitiv: accesul la portal poate avea succes în timp ce nu există niciun tunel, iar un tunel care apare poate fi refuzat ulterior printr-o verificare a posturii.

Potriviți clientul cu ceea ce vorbește gateway-ul

Odată ce familia este cunoscută, alegerea se restrânge rapid. Aceasta este maparea pe care o verific mai întâi, iar ultima coloană contează mai mult decât orice evaluare a aplicației.

Două rânduri merită un avertisment. Clientul macOS încorporat este o implementare reală IKEv2, nu un client SSL VPN generic: un serviciu conceput pentru acesta are nevoie de profilul corect, identitatea și acreditările de server așteptate, iar pe o mașină gestionată acel profil poate fi blocat. OpenConnect acoperă mai multe protocoale de furnizor dintr-un singur binar, dar propriul său proiect nu solicită suport de furnizor; Scanarea gazdei, regulile de tunel împărțit împins de gateway sau un anumit flux SSO pot exista numai în clientul furnizorului.

WireGuard are aceeași formă. Serviciul furnizează colegii, clientul furnizează tunelul, iar un profil OpenVPN nu este un înlocuitor. O încrețitură macOS: clientul App Store își păstrează tunelurile înăuntru a Network Extension, deci wg show din instrumentele Homebrew nu pot raporta nimic cât timp interfața este activată. În schimb, verificați cu rute și trafic.

Configurați, apoi verificați într-o ordine fixă

Instalați un client și un profil și notați ceea ce ați schimbat. Înainte de a vă conecta, capturați o linie de bază, astfel încât să puteți spune ce modifică tunelul:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Conectați-vă cu profilul furnizat și repetați aceleași comenzi. Pentru un tunel complet, ruta implicită ar trebui să indice o interfață utun; cu tunelul divizat, numai prefixele interne ar trebui direcționate, iar ieșirea dvs. publică ar trebui să arate neschimbată. DNS este jumătatea care de obicei rămâne întreruptă: scutil --dns listează rezolutorii în ordinea în care sistemul îi va folosi, iar un resolver intern aflat sub unul public va trimite nume interne către serverul greșit.

Pentru un serviciu OpenVPN, Tunnelblick este un client rezonabil fără costuri, iar propriul său ghid este direct despre jumătatea lipsă: nu furnizează un serviciu VPN. Faceți dublu clic pe .ovpn care vi s-a dat, lăsați Tunnelblick să-l instaleze și verificați versiunea cu versiunea dvs. macOS înainte de a vă baza pe ea.

Pentru un gateway de furnizor, testez adesea cu OpenConnect din linia de comandă:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

Instrumentul imprimă certificatul primit și așteaptă înainte de a avea încredere într-un lanț necunoscut; acel prompt este o caracteristică, iar fixarea cu --servercert pin-sha256:... este mai bună decât acceptarea unui avertisment pe care nu l-ați citit. Ctrl-C dărâmă tunelul, deoarece o conexiune deschisă în prim-plan nu are întrerupător și nicio logică de reconectare. Este în regulă pentru o sesiune de diagnosticare și o valoare implicită slabă pentru munca zilnică.

Când nu există nicio poartă care să se potrivească

Unii ajung cu problema opusă: fără operator, fără adresă, fără service. O aplicație gratuită pentru Mac nu poate crea accesibilitate la intrare la un router de acasă. Dacă îți dorești propria rețea de la un hotel, cineva trebuie să ruleze un gateway acasă, să-l păstreze patch-ul, să-i publice sau să rezolve adresa și să decidă ce dispozitive sunt accesibile.

Dacă doriți o ieșire de internet diferită decât accesul la o rețea privată, alegeți serviciul înaintea clientului. O listă de profil goală într-un client independent nu este adesea un abonament gratuit întrerupt; este posibil să nu existe un abonament și niciun server atașat. Păstrați și costurile deoparte: o licență de client, un plan de servicii și un gateway autonom sunt trei achiziții diferite.

Un Mac de lucru adaugă un strat de politică. O aplicație gratuită poate fi greșită chiar și atunci când se conectează, deoarece clientul aprobat poate impune verificări ale dispozitivului sau un flux de autentificare de care alternativă îi lipsește. Solicitați o alternativă aprobată în loc să copiați acreditările între aplicații care nu au legătură și nu tratați dezactivarea protecțiilor platformei ca pe o soluție de compatibilitate.

Un vizualizator de la distanță pentru desktop este, de asemenea, un produs diferit. Vă arată o sesiune pe alt computer; nu oferă aplicațiilor locale Mac calea de rețea pe care o oferă un tunel.

O scurtă listă de verificare înainte de prima sesiune reală

Denumiți familia de gateway și modul de acces în scris, instalați doar clientul care le corespunde și înregistrați profilul pe care l-ați folosit. Apoi confirmați trei lucruri cu trafic real: rutele instalate de tunel, ordinea de rezolvare și o aplicație internă accesată prin nume și nu prin IP.

Dacă ceva nu reușește, schimbați câte o variabilă: client, profil, flux de autorizare. Un portal care se încarcă în timp ce tunelul refuză să pornească separă o problemă de server web de una de compatibilitate cu clientul. Odată ce serviciul de lucru răspunde și calea publică se comportă conform așteptărilor, aveți un aranjament numit și susținut în loc de o grămadă de presupuneri.